Spring Framework の 91件の脆弱性が FIX：ソフトウェア・サプライチェーン上の 209,569 個のコンポーネントに影響

91 Spring CVEs Impact Over 209,000 Software Components Across the Supply Chain

2026/08/25 gbhackers — Broadcom が 8月20日に公表したのは、Spring Framework および関連プロジェクトに影響を及ぼす 91 件の脆弱性である。それに伴い必要となるのは、ソフトウェア・サプライチェーン全体に対する対策であり、209,569 個のソフトウェア・コンポーネントが影響を受けると、Sonatype は推定している。このアドバイザリが示すのは、AI による脆弱性発見の加速と、ソフトウェアの特定／修正／再ビルド／展開を行う組織の能力との間で、ギャップが拡大していることである。

91 件の Spring の脆弱性がソフトウェア・コンポーネントに影響

このアドバイザリが対象とする複数の Spring プロジェクトは、Spring Security／Spring Cloud Config／Spring AI／Spring Data REST／Spring Integration／Reactor Core／Reactor Netty／Spring AMQP／Spring Batch などにまたがるものだ。報告された脆弱性には、安全でないデシリアライズ／信頼できないコードの実行／機密性の高い情報の露出／サーバーサイド・リクエスト・フォージェリ (SSRF) ／パス・トラバーサル／サービス拒否／不適切な認可などが含まれる。

CVE の件数だけでは、影響範囲の全体像を完全には把握できない。脆弱な Spring ライブラリにより、アプリケーションが直接的な影響を被るだけではなく、フレームワーク・スターターやオープンソース・プロジェクトの推移的な依存関係にも影響が生じる場合がある。

Sonatype が示した影響を受けるコンポーネントには、脆弱な Spring コードを含む Spring プロジェクト以外のパッケージも含まれるため、上流側での修正提供だけでは対応は完了しない。つまり、下流プロジェクトにおいても、修正の取り込み／企業の資産一覧における該当コンポーネントの特定／影響を受けるアプリケーションの再ビルドと再展開などが必要となる。

CVE-2026-59285 (CVSS 9.2) は、Spring for GraphQL に存在する安全でないデシリアライズの問題であり、深刻度は「緊急」と評価されている。アプリケーションが JSON のデシリアライズに Jackson 2.x を使用し、ページネーションされた GraphQL フィールドを公開し、さらにデシリアライズ・チェーン内に攻撃対象となり得るクラスが含まれる場合に、この脆弱性が悪用される可能性がある。

必要なのは、Spring for GraphQL の修正版への更新であり、脆弱性が推移的な依存関係から生じている場合には、上位の依存関係の更新や、メンテナーが提供する更新版の適用が必要になり得る。

今回のリリースには、Spring AI のツール呼び出しに関する中程度の脆弱性 CVE-2026-59318 が含まれており、特定の条件下でのプロンプト・インジェクションにより、Spring AI が現在の要求では利用できないツールを呼び出し、本来の要求で許可されていないツールを利用することで、権限昇格につながる可能性がある。

この問題は、エージェント型 AI のセキュリティにおいて、プロンプトは認可制御の代替にはならないという重要な原則を示している。ツールへのアクセスに関しては、モデルへの指示だけで制御するのではなく、アプリケーション層およびアイデンティティ層で強制する必要がある。

2026年3月から 4月にかけて Spring の月間アドバイザリ件数が 1,700% 以上増加したとの報告があるように、Spring のアドバイザリ件数はすでに急増している。2026年3月だけで Spring には 55 件のセキュリティ報告が寄せられ、4月には 65 のプロジェクトを対象として 482 件がスキャンされた。これらの結果には、Sonatype 内での AI 支援によるスキャン結果とコミュニティからの報告が含まれている。ただし Sonatype は、8月に公表された CVE が、特定の AI システムにより発見されたものだとは述べていない。

組織にとって必要なのは、本番環境／開発システム／成果物リポジトリを対象として、影響を受ける Spring のバージョンの有無を速やかに評価することである。セキュリティ・チームが優先して確認すべき対象は、インターネットに公開されたサービス／GraphQL を公開する環境／AI ツールを公開しているアプリケーション／脆弱なコードを含むパッケージであり、ソフトウェア部品表 (SBOM) と依存関係解決データは、直接的な影響と推移的な依存関係による影響を特定する上で役立つ。

さらに、更新テストでは、サポート対象となる Spring の各バージョン系列での互換性を確認する必要がある。AI が脆弱性の発見を加速させる中、ソフトウェア・コンポーネントの把握と対策の自動化は、ソフトウェア・サプライチェーンにおける重要な防御策となりつつある。

Broadcom により、Spring Framework および関連プロジェクトに影響を及ぼす多数の脆弱性が公表されました。開発における AI 活用で脆弱性の発見速度が急増する一方、複雑な依存関係への対応が追いつかない背景があります。直接的な依存のみならず推移的依存パッケージへの波及／開発資産の不透明化／未承認ツール呼び出しによる権限昇格などの問題が生じます。対応策としては SBOM 等を活用した影響範囲特定／修正版への更新／アプリケーション層での制御徹底が推奨されます。なお記事では CVE-2026-59285／CVE-2026-59318 が解説されています。迅速な確認と自動化された継続的対策が求められます。