GeoServerの未パッチゼロデイ脆弱性、公開から数時間でサイバー悪用が開始修正パッチは本記事執筆時点で未提供|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年08月18日更新日時: 2026年08月18日

地理空間データ共有プラットフォーム「GeoServer」に、SQLインジェクションに起因する未パッチのゼロデイ脆弱性が見つかり、公開から数時間のうちに悪用の試みが観測され始めたことが、攻撃対象領域管理企業WatchTowrの分析により明らかになりました。修正パッチは本記事執筆時点で提供されておらず、GeoServerは過去にも大規模な悪用を受けた経緯があることから、早急な対応が求められています。

この記事のサマリー

セキュリティ研究者q1uf3ng氏は2026年8月12日（水曜日）、GeoServerに存在するSQLインジェクションの脆弱性を公開しました。リモートコード実行（RCE）につながる可能性があるとされています。
脆弱性は、GeoServerの「jsonArrayContains」関数（JSON配列フィールドが特定の値を含むかどうかを確認するためのフィルター式）に存在し、PostGISおよびOracle JDBCのデータストアと組み合わせて使用された場合に影響を受けるとされています。
原因は、ユーザーが指定した引数が、データベースクエリへ組み込まれる前に適切にサニタイズされていないことにあり、特定の設定下でリモートコード実行につながるとされています。
攻撃対象領域管理企業WatchTowrによると、脅威アクターは脆弱性の公開から数時間のうちに悪用を開始しており、少数の送信元IPアドレスから数百件に及ぶ悪用の試みが観測されているとしています。
現時点で確認されているのは、脆弱なシステムを探索する挙動にとどまり、侵入後の後続活動は観測されていないとされています。
WatchTowrは、GeoServerがこれまでも大規模な悪用の標的にされてきた経緯があり、複数の脆弱性がCISAの既知の悪用済み脆弱性（KEV）カタログに掲載されていると指摘しています。
本記事執筆時点で、この脆弱性に対する公式な修正パッチは提供されていません。

整理表

項目	内容
脆弱性の公開日	2026年8月12日（水曜日）、研究者q1uf3ng氏がX（旧Twitter）で公開
脆弱性の種別	SQLインジェクション、リモートコード実行（RCE）につながる可能性
影響を受ける機能	GeoServerの「jsonArrayContains」関数（JSON配列フィールドのフィルター式）
影響を受けるデータストア	PostGIS、Oracle JDBC
原因	ユーザー指定引数の不適切なサニタイズ処理
悪用開始の報告元	WatchTowr（攻撃対象領域管理企業）
悪用開始までの時間	公開から数時間以内
観測された悪用の試み	少数の送信元IPアドレスから数百件
現時点で観測されている活動	脆弱なシステムの探索（プロービング）、後続活動は未観測
修正パッチ	本記事執筆時点で未提供
GeoServerの用途	政府機関、農業、通信、交通など幅広い業界で利用される地理空間データ共有プラットフォーム

何が起きたか

SecurityWeekの報道によると、この脆弱性はセキュリティ研究者のq1uf3ng氏によって、2026年8月12日（水曜日）にX上で公開されました。同氏の投稿によると、脆弱性はGeoServerの「jsonArrayContains」関数に存在します。この関数は、JSON配列フィールドを対象にクエリを行い、特定の値が含まれているかどうかを確認するためのフィルター式で、PostGISおよびOracle JDBCのデータストアと組み合わせて使用できるものです。

このSQLインジェクションは、ユーザーが指定した引数が、データベースクエリへ組み込まれる前に適切にサニタイズされていないことに起因するとみられ、特定の設定下ではリモートコード実行（RCE）につながる可能性があるとされています。

攻撃対象領域管理企業WatchTowrによると、脅威アクターはこの未パッチのゼロデイ脆弱性が公開されてから、間もなく悪用を開始しました。同社のJake Knott氏は「公開から数時間のうちに、悪用の試みを観測し始め、それ以降、少数の送信元IPアドレスから数百件に及ぶ試みを記録している。脆弱性が公開領域に出た途端、攻撃者がいかに素早く動くかを示す、もう一つの事例だ」と述べています。

現時点では探索段階、今後の悪用拡大に警戒

脅威アクターはこの脆弱性を悪用し、脆弱なシステムを探索する動きを見せていますが、本記事執筆時点で、侵入に成功した後の後続活動は観測されていないとされています。

ただし、WatchTowrのKnott氏は、この状況が長くは続かない可能性が高いと警告しています。同氏は「GeoServerは、これまでも大規模な悪用の標的にされてきた経緯があり、複数の脆弱性がCISAの既知の悪用済み脆弱性（KEV）カタログに掲載されている」と指摘しています。そのうえで、「現時点で修正パッチが存在せず、悪用が既に始まっている以上、GeoServerを運用する組織はこの脆弱性を重く受け止め、可能な限り、公開されているインスタンスを特定し、外部からのアクセスを制限し、ベンダーによる修正の提供を監視すべきだ」と述べています。

GeoServerは、地理空間データの共有・処理を行うためのオープンソースプラットフォームで、政府機関、農業、通信、交通など幅広い業界で利用されています。

過去にも大規模な悪用を受けてきたGeoServer

GeoServerが大規模な悪用の標的になったのは、今回が初めてではありません。当サイトでは2024年、GeoServerとGeoToolsに存在した重大な脆弱性CVE-2024-36401（XPath式の評価処理に起因するリモートコード実行の脆弱性）について報じており、詳細はGeoserverで重大な脆弱性（CVE-2024-36401）任意のコードをリモート実行される可能性で解説しています。この脆弱性は、CISAが米政府機関に対し2024年8月5日までのパッチ適用を義務付けるほど深刻なもので、ZoomEyeの調査では、世界で約1万6,462台のGeoServerサーバーが当時オンライン上に公開されていたことが確認されています。その後、この脆弱性を悪用してマルウェアを配布する攻撃キャンペーンも観測されており、GeoServerの脆弱性(CVE-2024-36401)を悪用したマルウェア攻撃が観測されるで報じたとおりです。今回の新たなゼロデイ脆弱性についても、WatchTowrが指摘するとおり、同様の大規模な悪用へ発展する可能性を念頭に置いた警戒が必要です。

情報システム部門が確認すべき対策ポイント

自社でGeoServerを運用している場合、インターネットに公開されているインスタンスがないか、まず特定してください。
公開が必要な場合でも、可能な限りアクセス元を制限し、外部から直接到達できる範囲を最小化してください。
PostGISまたはOracle JDBCのデータストアと組み合わせてGeoServerを利用している場合は、特に注意が必要です。
ベンダーによる修正パッチの提供状況を継続的に監視し、公開され次第、速やかに適用してください。
WAF（Webアプリケーションファイアウォール）や侵入検知システムを導入している場合、jsonArrayContains関数を狙った不審なリクエストパターンを検知できるよう、ルールの見直しを検討してください。
過去のCVE-2024-36401の事例が示すとおり、GeoServerの脆弱性は公開後にマルウェア配布キャンペーンへ発展した実績があります。侵入の痕跡がないか、アクセスログの確認もあわせて行ってください。