AWS、Amazon NeptuneにCVSS 9.9の重大な脆弱性―認証済み利用者が任意コード実行のおそれ（CVE-2026-110812）|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年10月20日更新日時: 2026年10月20日

Amazon Web Services（AWS）は2026年10月15日、マネージド型グラフデータベース「Amazon Neptune」に影響する脆弱性「CVE-2026-110812」を公表しました。Apache TinkerPopのGremlinに関連するグラフデータ読み込み処理に問題があり、一定の権限を持つ認証済み利用者が、データベースエンジン内で任意のコードを実行したり、内部サービスの認証情報にアクセスしたりするおそれがあります。

AWSはエンジンバージョン1.4.7.1、1.4.8.1、1.5.0.0で修正したとして、該当するNeptune DBクラスターの更新を推奨しています。今回の問題は認証不要で利用できる脆弱性ではなく、Neptuneのデータプレーンに対するクエリ権限が攻撃成立の条件です。

Amazon Neptuneの脆弱性「CVE-2026-110812」のサマリー

AWSが2026年10月15日付のセキュリティ告知「2026-136-AWS」で公表しました。
対象はAmazon Neptuneのデータベースエンジンで、CVE番号は「CVE-2026-110812」です。
Gremlinを利用するグラフデータの読み込み処理に、安全でないデシリアライズの問題があります。
悪用には、認証済みでNeptuneのデータプレーン（クエリ）にアクセスできる権限が必要です。
AWSが登録したCVE情報では、任意コードの実行と内部サービス認証情報へのアクセスが想定されています。
深刻度はCVSS v3.1で9.9（Critical）、CVSS v4.0で9.4（Critical）です。
1.2.0.0以降のエンジン系列が影響範囲に含まれますが、修正済みの1.4.7.1、1.4.8.1、1.5.0.0は対象外です。
自動マイナーバージョン更新を有効にした利用者には、次回のメンテナンス時間帯に修正が適用される案内となっています。手動管理のクラスターは更新操作が必要です。

項目	内容
製品	Amazon Neptune Engine（Neptune DB）
CVE	CVE-2026-110812
AWS告知番号	2026-136-AWS
公表日	2026年10月15日
脆弱性の種類	信頼できないデータのデシリアライズ（CWE-502）。CVE登録情報ではSSRF（CWE-918）も分類
深刻度	CVSS v3.1：9.9／CVSS v4.0：9.4（いずれもCritical）
悪用に必要な条件	認証済みでNeptuneデータプレーンのクエリ権限を持つこと
修正済みエンジン	1.4.7.1／1.4.8.1／1.5.0.0

Gremlinのデータ読み込み処理に問題―認証済みの利用者が攻撃可能

Amazon Neptuneは、データ同士の関係を扱うグラフデータベースサービスです。今回の脆弱性は、Neptuneが利用するApache TinkerPopのGremlin関連機能に起因します。

AWSの説明によると、Neptuneのクエリ権限を持つ認証済みの主体が特定のリクエストを送信した際、クエリエンジンが信頼できない入力を安全でない形で処理する場合があります。AWSがCVE管理組織へ登録した説明では、グラフデータのインポート処理を通じ、任意のコードの実行や内部サービス認証情報へのアクセスにつながる可能性が示されています。

ただし、すべてのNeptuneクラスターがインターネットから無条件に攻撃されるという意味ではありません。悪用にはNeptuneのデータプレーンへアクセスできる有効な認証・権限が必要です。また、今回のCVEはAmazon Neptune Engineに対するもので、Apache TinkerPopを利用するほかの製品やサービスすべてが同じ条件で影響を受けると発表されたわけではありません。

修正版は1.4.7.1・1.4.8.1・1.5.0.0―バージョン番号だけの比較に注意

AWSが示した影響対象は、エンジンバージョン1.2.0.0以降の未修正バージョンです。更新先は一律に1.5.0.0だけではなく、複数のエンジン系列に修正が提供されています。

利用しているエンジン系列	AWSが示す修正済みバージョン
1.4.7系	1.4.7.1
1.4.8系	1.4.8.1
1.5系	1.5.0.0
それ以前の影響対象バージョン	AWSが案内する対応可能な修正済みエンジンへのアップグレードを検討

古い数字の「1.4.7.1」も修正済みのため、単純に「1.4.8.0以上なら安全」といった判定はできません。利用中のバージョンを正確に照合する必要があります。

また、Neptune 1.5.0.0ではGremlinの基盤となるApache TinkerPopが3.8系へ更新され、クライアントの対応バージョンや一部クエリの挙動が変更されています。AWSは、更新によってクエリ結果が変わる可能性もあるとして、既存アプリケーションでの互換性確認を案内しています。運用中のシステムでは、対応可能であれば同じ1.4系の修正版を適用する方法も含めて更新計画を検討します。

なお、各修正版のリージョンへの配信には数日を要する場合があります。実際に選択できる更新先は、対象クラスターのリージョンとコンソール表示で確認してください。

AWSは最小権限の適用を案内―更新までの暫定対策

AWSは、更新までの暫定措置として、Neptuneのneptune-dbに関するクエリ権限を信頼できる主体だけに許可するよう推奨しています。権限を必要以上に付与しているIAMロールやユーザー、業務アプリケーションの実行主体がないか確認します。

自動マイナーバージョン更新を有効にしているクラスターについて、AWSは次回のメンテナンス時間帯に修正を適用すると説明しています。一方、手動でエンジンバージョンを管理するクラスターは、管理者によるアップグレードが必要です。自動更新を設定していることだけで修正済みと判断せず、適用後の実際のエンジンバージョンを確認してください。

情報システム・クラウド運用担当者が確認する項目

Neptuneを利用する企業では、まずAWSコンソールまたはNeptuneのインスタンスステータスAPIで稼働中のエンジンバージョンを確認し、CVE-2026-110812の影響範囲と突き合わせます。そのうえで、次の事項を確認します。

対象クラスターと権限の棚卸し： Neptune DBクラスターの利用部門、稼働バージョン、クエリ権限を持つIAM主体・アプリケーションを洗い出します。
更新状況の確認： 自動マイナーバージョン更新の有効・無効とメンテナンス時間帯を確認し、修正済みバージョンが実際に適用されているか確認します。
互換性の事前確認： 1.5.0.0への更新を検討する場合、Gremlinクライアントとクエリの挙動を検証します。AWSは本番クラスターを複製して更新先バージョンで検証する方法を案内しています。
更新前のデータ保護： AWSが推奨する手動スナップショットを取得し、障害時の復旧手順を確認します。
アクセス権限の是正： 更新完了まで、不要なneptune-dbクエリ権限を削除し、信頼できる利用主体に限定します。

クラウド上のマネージドサービスでも、利用バージョンの確認、権限の見直し、更新後の動作検証は利用組織側の運用に残ります。多数のクラウド資産の更新状況を一元管理する際の考え方は、脆弱性管理の運用プロセスと優先順位付けでも解説しています。