Amazon Web Services（AWS）は2026年9月10日、AWS Systems Manager Agent（SSM Agent）のSession Managerポートフォワーディング機能に存在する脆弱性「CVE-2026-89049」を公表しました。
影響を受けるのは、リモートホストへのポートフォワーディングをサポートするSSM Agent 3.3.4851.0未満です。
認証済みでリモートホストへのポートフォワーディングを開始できる権限を持つユーザーが脆弱性を悪用すると、本来ブロックされるリンクローカルの宛先へ到達できる可能性があります。AWSは、主な影響としてEC2 Instance Metadata Service（IMDS）へアクセスし、インスタンスに割り当てられたIAMロールの一時認証情報を取得できる可能性を挙げています。
GitHub Security AdvisoryではCVSS v3.1が9.9（Critical）です。一方、AWSのセキュリティ速報は「Important」として公開しており、悪用には認証とSession Managerの権限が必要です。
CVE-2026-89049のサマリー
確認できている内容：
- AWSが2026年9月10日にCVE-2026-89049を公表しました。
- 対象はAWS Systems Manager Agent（SSM Agent）3.3.4851.0未満です。
- 対象範囲は、リモートホストへのポートフォワーディングをサポートするバージョンです。
- 脆弱性はSession Managerのリモートホスト向けポートフォワーディング機能に存在します。
- 原因は、ブロック対象となる宛先アドレスについて、同一の宛先を示す別表現を適切に検証できていなかったことです。
- 認証済みでリモートホスト向けポートフォワーディングを開始できるユーザーが、リンクローカル宛先への制限を回避できる可能性があります。
- AWSは、主な対象としてEC2 Instance Metadata Service（IMDS）を挙げています。
- EC2インスタンスにIAMロールが割り当てられている場合、その一時認証情報を取得される可能性があります。
- 取得された認証情報は、インスタンス外部からAWS APIを呼び出すために利用でき、実際の影響はIAMロールの権限に左右されます。
- 修正版はSSM Agent 3.3.4851.0です。
- GitHub Security AdvisoryのCVSS v3.1は9.9（Critical）です。
- CVEレコードではCVSS v4.0が8.5（High）です。
- CISAのSSVC評価では、2026年9月10日時点で実悪用は「none」とされています。
- 9月15日時点でCISA Known Exploited Vulnerabilities（KEV）カタログへの掲載は確認できませんでした。
| 項目 | 内容 |
|---|---|
| CVE | CVE-2026-89049 |
| 公表日 | 2026年9月10日 |
| 対象 | AWS Systems Manager Agent |
| 影響バージョン | 3.3.4851.0未満 |
| 修正版 | 3.3.4851.0 |
| 対象機能 | Session Managerのリモートホスト向けポートフォワーディング |
| 脆弱性 | Server-Side Request Forgery（SSRF） |
| CWE | CWE-918、CWE-1289 |
| CVSS v3.1 | 9.9（Critical） |
| CVSS v4.0 | 8.5（High） |
| 攻撃条件 | 認証済みで対象のSession Managerポートフォワーディングを開始できる権限が必要 |
| 主な影響 | リンクローカル宛先へのアクセス、IAMロールの一時認証情報取得の可能性 |
| 実悪用 | CISA SSVCでは「none」 |
| CISA KEV | 9月15日時点で掲載確認できず |
| 回避策 | AWS-StartPortForwardingSessionToRemoteHost の利用権限を制限 |
Session Managerのポートフォワーディング制限を回避
AWS Systems Manager Agentは、EC2インスタンス、オンプレミスサーバー、仮想マシンなどの管理対象ノード上で動作し、AWS Systems Managerからの指示を処理するソフトウェアです。
Session Managerを利用すると、インターネットへSSHやRDPポートを直接公開せずに管理対象ノードへ接続できます。また、管理対象ノードを経由して別のホストへ接続するリモートホスト向けポートフォワーディング機能も提供されています。
この機能では、安全上アクセスさせるべきでないリンクローカルアドレスへの通信を拒否するため、宛先のdenylistが実装されています。
CVE-2026-89049では、同一のIPアドレスを示す複数の表現を正規化して比較する処理が不十分でした。
その結果、Session Managerでリモートホスト向けポートフォワーディングを開始できる利用者が、禁止対象と同一の宛先を別表現で指定することで、denylistを回避できる可能性がありました。
本記事では、実際に制限を回避するための宛先表現や具体的な悪用手順は掲載しません。
EC2 Instance Metadata ServiceからIAM一時認証情報を取得される可能性
AWSが主な影響として挙げているのが、EC2 Instance Metadata Service（IMDS）へのアクセスです。
IMDSはEC2インスタンス自身がメタデータを取得するためのサービスです。EC2にIAMロールが割り当てられている場合、アプリケーションはIMDSを通じて、そのロールの一時的なAWS認証情報を取得できます。
本来、こうしたリンクローカルのサービスはSession Managerのリモートホスト向けポートフォワーディングの接続先としてブロックされます。
しかしCVE-2026-89049を悪用すると、権限を持つSession Manager利用者が制限を回避し、IMDSなどのリンクローカルエンドポイントへ到達できる可能性があります。
AWSは、そこから管理対象インスタンスの一時IAMロール認証情報を取得し、その認証情報をインスタンス外部から利用できる可能性があると説明しています。
実際の影響はEC2に割り当てたIAMロールの権限で変わる
CVE-2026-89049を悪用した場合でも、取得された一時認証情報で実行できる操作は、インスタンスプロファイルに設定されたIAMロールの権限を超えません。
そのため、実際の影響はEC2にどのような権限を割り当てているかによって大きく変わります。
例えば、対象ロールにS3、Secrets Manager、データベース、IAMなど広いアクセス権限が付与されている環境では、取得した認証情報から別のAWSリソースへアクセスされる可能性があります。
一方、インスタンスロールを必要最小限の権限に制限している場合、侵害後に利用できるAWS APIも限定されます。
「SSM Agentの脆弱性だけでAWSアカウント全体を無条件に乗っ取れる」という内容ではありません。
攻撃には、まず認証済みの主体が AWS-StartPortForwardingSessionToRemoteHost を利用できる権限を持っている必要があり、その後の影響も対象EC2のIAMロールによって変わります。
CVSS v3.1は9.9 Critical、AWSの速報はImportant
GitHub Security AdvisoryはCVE-2026-89049をCriticalと評価し、CVSS v3.1を9.9としています。
ベクトルは以下です。
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
一方、CVEレコードのCVSS v4.0は8.5（High）です。
CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:N/VA:N/SC:H/SI:H/SA:H
AWSのセキュリティ速報では、コンテンツ分類を「Important（requires attention）」としています。
「Critical」「High」「Important」という表記は、それぞれGitHub Security Advisory、CVSS v4.0、AWS独自の速報分類で基準が異なります。
実務上はスコアだけではなく、SSM Agentのバージョン、ssm:StartSession の付与対象、対象EC2のIAMロール権限を確認する必要があります。
SSM Agent 3.3.4851.0で修正
AWSはSSM Agent 3.3.4851.0でCVE-2026-89049を修正しています。
GitHubのリリース履歴では、3.3.4851.0は2026年7月13日に公開されていました。
リリースノートには、今回の修正に関係する内容として、
- ポートフォワーディングのdenylist判定前にIPアドレスを正規化
- ECS／EKSの認証情報エンドポイントとループバックをdenylistへ追加
と記載されています。
AWSは9月10日のセキュリティ速報で3.3.4851.0以上への更新を正式に推奨しました。
独自にSSM Agentをフォークしている場合や派生コードを使用している場合についても、修正を取り込むよう案内しています。
更新できない場合はリモートホスト向けSession Managerの権限を制限
すぐにSSM Agentを更新できない場合、AWSは AWS-StartPortForwardingSessionToRemoteHost ドキュメントを利用できる主体を制限するよう案内しています。
具体的には、IAMの ssm:StartSession 権限とSSMドキュメントへのアクセスを絞り込み、信頼できないユーザーやロールがリモートホスト向けポートフォワーディングを開始できないようにします。
これは暫定策であり、AWSはSSM Agent自体を最新バージョンへ更新することを推奨しています。
9月15日時点で実悪用は確認されず、CISA KEVにも未掲載
CVEレコードに含まれるCISAのSSVC評価では、2026年9月10日時点のExploitationは「none」とされています。
同評価ではAutomatableは「no」、Technical Impactは「partial」とされています。
9月15日時点で、CISA Known Exploited Vulnerabilities（KEV）カタログへの掲載も確認できませんでした。
したがって現時点で、「実際の攻撃で悪用されている」「CISAが悪用確認済み脆弱性として指定した」とする根拠はありません。
一方、修正版が提供済みであり、悪用に成功した場合はAWS認証情報へ到達する可能性があるため、実悪用の有無とは分けて対象環境を確認する必要があります。
情報システム・クラウド管理者が確認したいポイント
AWS Systems Managerを利用する企業では、次の順で確認できます。
- 管理対象ノードのSSM Agentが3.3.4851.0以上か
- 古いAMIや長期間稼働しているEC2に旧SSM Agentが残っていないか
ssm:StartSessionを付与しているユーザー、IAMロール、外部委託先アカウントを棚卸しできるかAWS-StartPortForwardingSessionToRemoteHostを業務上必要としない利用者にも許可していないか- EC2のインスタンスロールに必要以上のS3、Secrets Manager、IAM、データベース権限を付与していないか
- 管理者権限相当のIAMポリシーをEC2へ安易に割り当てていないか
- Session Managerの利用履歴をCloudTrailなどから追跡できるか
- 不要になった外部委託先や自動化アカウントのSession Manager権限を停止しているか
- SSM Agentをフォーク・固定バージョンで運用している環境を把握しているか
特に確認したいのは、「脆弱なSSM Agentが存在するか」だけではありません。
CVE-2026-89049は認証済み利用者からの悪用を前提としているため、Session Managerを利用できる主体と、そこから取得され得るEC2 IAMロールの権限をセットで確認する必要があります。
AWS認証情報が外部へ取得された場合の影響については、公開AWSアクセスキー9,308件がなお有効 企業関連768キーはアカウントを全面制御可能でも、IAM権限と一時・長期認証情報の管理を整理しています。
出典
- CVE-2026-89049 – Server-side request forgery in the Session Manager port forwarding functionality in AWS Systems Manager Agent – Amazon Web Services
- Server-side request forgery in the Session Manager port forwarding functionality in AWS Systems Manager Agent – GitHub Security Advisory
- Amazon SSM Agent – Release 3.3.4851.0 – AWS GitHub
- CVE-2026-89049 – CVE Program
