ArcGIS Serverに最大CVSS 9.8の修正｜地図の表示だけで終わらせない更新確認

Esriは2026年10月14日のセキュリティ情報で、ArcGIS Server向けSecurity 2026 Update 3 Patchを案内しました。資料にはSQLインジェクションに当たるCWE-89の問題があり、CVSS 3.1の基本値は9.8です。地図を表示するWebサイトでも、背後のGISサーバーの更新対象を確認する必要があります。

本記事は10月18日にEsriの一次資料を確認したニュースと実務上の整理です。パッチの公開日は10月13日、セキュリティ情報の公表日は10月14日です。事件の発生日ではなく、今回確認した資料に基づく日付として区別します。以下の点検手順は本サイトの提案です。

出典：Esri October 2026 ArcGIS Security Bulletin（10月14日公表）。

対象はArcGIS Serverの版ごとに確認する

Esriの配布ページは、ArcGIS Server 12.1、12.0、11.5、11.3、11.1を対象として列挙しています。WindowsとLinuxの配布物があり、問題ごとの影響範囲は一律ではありません。ArcGIS Enterpriseを使っているという情報だけで、適用する製品とパッケージを選ばないでください。

確認時点のセキュリティ情報ではCVEはComing Soonの表記です。本記事では未公表の番号を補いません。また、確認した資料だけで実際の悪用の有無は判断できないため、悪用がない、または確認されたとは断定しません。

出典：Esri October 2026 ArcGIS Security Bulletin（10月14日公表）。

最大スコアをすべての問題の評価にしない

公表資料にはCWE-89のほか、CWE-79のXSS、CWE-400、CWE-285の問題が示されています。基本値と一時的な評価値が別に掲載されており、同じ数字ではありません。タイトルの9.8はCWE-89の基本値で、すべての問題やすべての構成が同じ評価という意味ではありません。

CWEは弱点の種類を表し、個々の脆弱性を識別するCVEとは役割が異なります。CWE-89は問い合わせの命令と入力の境界、CWE-79はWebページへ出す内容と実行されるコードの境界に関係する分類です。ただし、一般的な分類の説明から、今回の具体的な悪用経路や必要条件まで推測して補うべきではありません。

出典：MITRE CWE-89：SQL Injection。

更新の単位を地図のページからサーバーへ広げる

本サイトの提案は、公開Webページから利用するGISサービスへ向かう経路を一覧にすることです。サイトのURL、地図の取得先、REST API、認証、プロキシ、ArcGIS Serverの実体、運用担当者を対応付けます。

CMSやJavaScriptライブラリーが最新でも、別の運用者が管理するArcGIS Serverが更新済みとは限りません。自社導入、委託運用、外部サービスのどれかを確認し、実際にパッチを適用できる担当者へ対象を渡します。

複数台で一つのサービスを提供する場合も、一台の成功を全体の成功へ広げないようにします。検証環境、待機系、普段は接続の少ない機器も台帳に入れ、復旧や切替の際に未修正の機器が戻らないことを確認します。

公開する地図と公開してよいデータを分ける

本サイトの提案として、地図を誰でも見せる機能と、その元データをどこまで取得させるかを分けて確認します。地図に一部の情報しか描いていなくても、APIの属性や添付、検索の結果から別の情報が返る設計では、画面だけの確認では足りません。

仮想の施設案内なら、一般公開の所在地と、内部の連絡先や作業記録を同じ応答へ混ぜないようにします。一般利用者、業務担当者、管理者の代表アカウントで、取得・編集・出力の権限を比べます。これは本件でその漏えいが起きたという主張ではなく、自社の利用条件を確かめる提案です。

今回のパッチと日常の認可設定は別の管理対象です。設定を狭めたから製品の修正が不要になるとも、パッチを当てたから公開範囲が正しくなるとも判断しないでください。

配布物と導入済みの構成を対応させる

Esriは版とOSごとのファイルとSHA-256の値を配布ページへ掲載しています。また、インストール済みの製品とパッチを確認するためのPatchFinderを案内しています。使う機器とパッケージが一致することを、公式の現在の案内で確認します。

出典：Esri ArcGIS Server Security 2026 Update 3 Patch。

本サイトの提案は、入手先、対象の版、確認したファイル、適用対象の機器を記録することです。検索結果や第三者の再配布ファイルだけに頼らず、公式の配布ページから必要なものを選びます。ハッシュが一致することは、信頼する配布元と組み合わせて判断してください。

Esriは今回のパッチを累積型と説明していますが、それを今後のすべてのパッチの適用順序が無関係という意味に広げないようにします。過去の変更履歴、同時に適用する更新、独自の設定と依存関係を担当者が確認します。

Linuxでは後から古いパッチを入れる順序に注意する

配布ページの手順は、WindowsとLinuxでパッチを複数入れる際の挙動を区別しています。特にLinuxでは、古いパッチを後から入れると新しい修正が置き換わると説明されています。また、関連するArcGIS Serverのすべてのインストールが対象です。

出典：Esri ArcGIS Server Security 2026 Update 3 Patch。

本サイトの提案は、運用スクリプトや復旧用の構成ファイルにも、適用する順序と最終状態を反映することです。手作業で最新にしても、次の再構築で古いパッチへ戻るなら、修正を維持できません。

更新前後の確認では、ファイル名や更新日だけでなく、公式に案内される方法で適用状態を照合します。OSの名称が同じでも、ArcGISの版や導入先が違う可能性があるため、別の機器用の手順をそのまま実行しないようにします。

停止・再起動と戻す条件を先に決める

Esriは、適用時にArcGIS Serverサービスが停止・再起動し、公開しているサービスの数によって時間がかかること、ロールバック計画を用意することを案内しています。更新処理がサイトへ影響しないと決めつけず、作業時間と利用者への案内を検討してください。

出典：Esri ArcGIS Server Security 2026 Update 3 Patch。

本サイトの提案として、更新前に必要な構成、データ、適用履歴と復旧に必要な情報を保全します。復旧先や手順が実際に使えることも確認し、何をもって戻す判断にするかを決めます。高可用構成では、その構成に合う公式手順へ従ってください。

パッチを外す場合は、修正した弱点が戻ることも評価します。画面が動く状態へ戻しただけで対応完了とせず、公開範囲の制限や作業の再計画を含めて、再び修正できるまでの状態を管理します。

地図が開くことに加えてAPIと権限を試す

本サイトの提案は、更新前に代表の機能と期待結果を記録し、更新後に同じ条件で比較することです。地図の表示、検索、一覧の件数、添付、編集、出力など、実際に利用するものを選びます。すべての機能を使っていると仮定する必要はありません。

公開と非公開、閲覧と編集、別組織のアカウントを区別して確認します。エラー応答であっても、機密な属性が本文に混ざらないか、一部だけ更新されていないかを照合します。実データのコピーを広く配るより、管理するテスト用データを利用します。

疑わしい入力を本番へ大量に送る検証は不要です。更新の適用、通常の業務の継続、意図しない範囲が拒否されることを、許可された検証環境と小さな条件で確認します。

更新する機器と業務の合格条件を一組にする

本サイトの提案として、作業前に、機器ごとの担当者、OS、ArcGIS Serverの版、適用する配布物、確認するサービスを一行ずつ対応付けます。同じ地図ページの裏に複数のサーバーがある場合も、利用者に見える一つのURLだけで完了を判断しないようにします。

仮想の店舗地図では、一般利用者が地点を検索できること、業務担当者だけが編集できること、非公開の属性が一般のAPIへ返らないことを合格条件にできます。条件を先に決めておくと、更新後に地図が見えたという感想だけで作業が終わるのを避けられます。

変更した値を元へ戻す場合も、その後の公開範囲と再更新の担当を記録します。停止が解消したこと、パッチが外れたこと、残る弱点にどう対処するかは、別の項目として説明する必要があります。

公開用の入口と管理用の入口を同時に確認する

本サイトの提案は、一般の地図の取得と、サービスの公開・変更・管理の入口を分けて棚卸しすることです。地図を公開する必要があっても、同じ範囲へ管理機能を公開する必要があるとは限りません。実際の構成で、管理用の接続経路と認証を確認します。

ただし、今回の公表情報から未記載の攻撃経路を作って説明しないようにします。入口の縮小は運用上の備えとして扱い、脆弱性の影響条件の確定はEsriの追加情報へ照らして判断します。判明した事実と予防の提案を分けることが、担当者への過不足のない依頼につながります。

WAFの遮断と製品更新の完了を区別する

本サイトの提案として、WAFや入口の制限は公開範囲を抑える補助策として評価し、パッチの代わりに完了扱いしないようにします。どの経路を通る通信に制限が効くかを確認し、内部向けや別の入口が対象外でないかを調べます。

監視では、更新した機器、利用するサービスのエラー、通常と異なる取得量、認証や権限の変更を関連付けます。単一の異常な要求だけで、今回の脆弱性の悪用と決めるのではなく、対象の条件と実行結果を確認します。

CVEや追加の説明が公表された場合に、自社の影響判断を見直す担当者を決めておくことも有効です。本記事は10月18日に確認した情報の整理であり、継続監視の結果ではありません。パッチの最新情報はEsriの公式ページで再確認してください。