ID管理基盤「OpenAM」に複数の「クリティカル」脆弱性

アイデンティティ管理基盤「OpenAM」に複数の脆弱性が明らかとなった。一部「クリティカル」と評価されており、いずれも10月のアップデートで修正済みとなっている。

Open Identity Platformは現地時間2026年10月22日、18件の脆弱性を明らかにし、修正版となる「OpenAM 16.1.4」を公開。その後、CVE番号が付与された。

このうち3件の脆弱性は重要度が4段階中もっとも高い「クリティカル（Critical）」とレーティングされている。

「CVE-2026-123551」は、セッションの開始や終了などを通知する「WebSocket」に認証チェックを回避して接続することで、利用者のセッショントークンが漏洩する脆弱性。

管理者を含む利用者のセッションを乗っ取ることが可能となる。CVE番号を採番したVulnCheckは、共通脆弱性評価システム「CVSS v4.0」のベーススコアを最高値となる「10.0」と評価している。

（Security NEXT - 2026/11/09 ）ツイート