重大 9.4 急ぎ度: 早めに

JP1/AJS3にバッファオーバーフローの脆弱性、修正版13-50-31あり

JP1/Automatic Job Management System 3のManager、Agent、Agent Minimal Editionに、認証なしでネットワークから狙える深刻な脆弱性が見つかりました。ジョブ管理にJP1を使っている組織は、どのサーバーに入っているかを洗い出し、13-50-31へ更新する段取りを組んでください。

CVE-2026-76933 公開 0:51 生成 AI で作成

急ぎ度: 早めに

CVSS v3が9.4で認証なしにネットワークから狙える一方、修正版13-50-31が出ており、実際の悪用を示す情報は見当たらないためです。

関係があるか

JP1/Automatic Job Management System 3（以下JP1/AJS3）でジョブの実行を管理している組織が対象です。Managerだけでなく、ジョブを実行する側のAgentやAgent Minimal Editionを入れたサーバーも含まれます。

製品	影響を受ける版	直った版
JP1/Automatic Job Management System 3 - Manager	10-00以上13-50-31未満	13-50-31
JP1/Automatic Job Management System 3 - Agent	10-00以上13-50-31未満	13-50-31
JP1/Automatic Job Management System 3 - Agent Minimal Edition	11-50以上13-50-31未満	13-50-31

確かめ方

1資産台帳やソフトウェア一覧で、JP1/AJS3のManager、Agent、Agent Minimal Editionが入っているホストを洗い出します。Agentは台数が多くなりがちなので、ジョブの実行先として登録されているホストも漏れなく確認してください。
2各ホストにインストールされている版を調べ、13-50-31より前かどうかを照らし合わせます。
3対象の下限の版は、公開情報によって10-00と11-00の2通りの記載があります。10系を使っている場合は、日立の告知（hitachi-sec-2026-139）で対象かどうかを必ず確認してください。

何が起きたか

JP1/AJS3のManager、Agent、Agent Minimal Editionに、ヒープ領域のバッファオーバーフローを起こす脆弱性が見つかりました。悪用されると、サーバー上の情報の読み取りや書き換えが起き、サービスが不安定になるおそれがあります。

弱点の種類はCWE-122で、日立が2026年10月27日に告知しました。修正版は13-50-31で、ManagerとAgentのどちらにも同じ版が用意されています。

どの機能や通信が入口になるのかなど、問題が起きる細部は告知の範囲では示されていません。

攻撃の流れ

1

サーバーへ到達

攻撃者がネットワーク経由で、JP1/AJS3が動くサーバーに接続できる状態になります。
2

細工した通信

認証を通さないまま、想定外のデータを脆弱な処理へ送ります。
3

メモリを破壊

ヒープ領域があふれ、プログラム内部のデータが壊れます。
4

情報と動作に影響

情報の読み取りや書き換え、サービスの不調につながるおそれがあります。

公開されている情報をもとにした流れの例です。

どう悪用されるか

CVSSの評価では、攻撃にログインは要りません。ネットワーク越しに到達でき、利用者の操作も特別な条件も必要ないとされています。社内LAN向けのサービスであっても、同じネットワークに入り込まれれば条件を満たしてしまいます。

被害の大きさは、機密性と完全性が高、可用性が低という評価です。情報が読まれる、書き換えられる影響が中心で、サービス停止は相対的に軽い見込みです。ただ、JP1/AJS3は多数のサーバーへジョブを配る役目を担うため、1台が侵害されたときの波及範囲は小さくないでしょう。

今すぐやること

1

対象ホストを洗い出す

Manager、Agent、Agent Minimal Editionが入っているホストを一覧にし、それぞれの版を記録します。
2

13-50-31へ更新する

修正版へ更新します。ManagerとAgentは別々に修正版が出ているので、Managerだけでなく、Agentを入れたホストにも適用してください。ジョブの実行時間帯を避けて、更新の順番と日程を決めます。
3

更新後の版を確認する

更新が済んだホストで版が13-50-31になっていることを確認し、一覧に反映します。手順や注意点は、日立の告知（hitachi-sec-2026-139）で最新の内容を確認してください。

すぐ更新できないとき

日立の告知にある回避策の有無は、公開情報からは読み取れません。すぐに更新できないときは、一般的な対策として、JP1/AJS3の各ホストへ接続できる送信元をファイアウォールなどで管理サーバーや運用端末だけに絞り、信頼できない区画からの到達を断ってください。これは修正版の代わりにはなりません。

背景

JP1/AJS3は、バッチ処理や定期ジョブを決まった順序で自動実行するための、日立の運用管理ソフトウェアです。Managerがジョブの定義と実行スケジュールを持ち、Agentが各サーバー上で実際にジョブを動かします。基幹系の夜間処理やデータ連携を担うことが多く、止まったり不正に操作されたりすると、業務への影響が広がりやすい製品です。

ヒープのバッファオーバーフローは、確保したメモリ領域を超えてデータを書き込んでしまう種類の脆弱性です。ネットワークから受けた入力を処理するサービスにあると、認証より前の段階で影響が出ることがあります。今回もCVSSでは認証が不要とされており、ジョブを配る側と受ける側の両方にある点が、対応の手間を増やします。

よくある質問

Q.社内ネットワークだけで使っていれば、更新は後回しでよいですか。

A.後回しにするより、早めの更新をおすすめします。認証が要らないため、端末の1台でも乗っ取られれば、そこからJP1/AJS3のサーバーへ到達できるおそれがあるからです。ただし、外部公開していない分、緊急度はやや下がるとみています。日程は組みつつ、到達できる範囲を絞る対策を並行してください。

Q.Managerだけ更新すれば、Agentはそのままでもよいですか。

A.更新の対象は、Managerだけではありません。AgentとAgent Minimal Editionにも、それぞれ13-50-31の修正版が用意されています。同じ脆弱性の影響を受けるので、Agentが入っているホストごとに更新が必要です。

まだ分かっていないこと

実際の攻撃で悪用されたかどうかは、公開情報では分かっていません。日立の告知で最新の状況を確認してください。
脆弱性の入口となる機能や通信の種類、悪用されたときに任意のコードが実行されるかどうかは、公表されていません。
10系を使っている環境が対象になるかどうかは、公開情報で記載が分かれています。日立の告知で確認してください。

この記事は、取得元の公開情報をもとに生成 AI で作成しています。誤りを含むことがあります。対応を決める前に、下の原文と参照先を確認してください。

影響パッケージ

種類	パッケージ	影響を受ける版	直った版
Hitachi	JP1/Automatic Job Management System 3 - Manager	10-00 以上 13-50-31 未満	13-50-31
Hitachi	JP1/Automatic Job Management System 3 - Agent	10-00 以上 13-50-31 未満	13-50-31
Hitachi	JP1/Automatic Job Management System 3 - Agent Minimal Edition	11-50 以上 13-50-31 未満	13-50-31

原文の説明取得元が公開している説明をそのまま載せています (多くは英語)。

Heap-based Buffer Overflow Vulnerability in JP1/Automatic Job Management System 3.

This issue affects JP1/Automatic Job Management System 3 - Manager: from 11-00 before 13-50-31; JP1/Automatic Job Management System 3 - Agent: from 11-00 before 13-50-31.

出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory