業務アプリにPayaraを使っていますか。管理用の接続先と修正版を確認

利用者の画面と、保守担当者が使う接続先を分ける

Payara ServerとPayara Microは、Javaで作られたアプリを動かす製品です。たとえば日本のintra-mart（イントラマート）にもPayaraを使う構成のセットアップ資料があります。自社の構成や公開範囲は、製品の利用契約と保守台帳で確認してください。

CVE-2026-110003 ／ Payara Serverの管理用REST

REST（レスト）は、ソフトウェアから機能を呼び出す方式です。管理用の接続先に届き、Secure Admin（セキュア・アドミン）が無効で管理者パスワードが空などの条件がそろうと、ログインなしで管理操作を実行されるおそれがあります。

CVE-2026-90908 ／ Payara Server・MicroのJMX/RMI

JMX（ジェー・エム・エックス）はJavaの監視・管理の仕組みで、RMI（アール・エム・アイ）は別の機器からJavaの機能を呼ぶ仕組みです。対象の接続先に届くと、遠隔接続の制限を回避され、Payaraを動かすアカウントの権限で命令を実行されるおそれがあります。MicroではJMX接続機能が有効な場合に限ります。

Payaraが登録した2件はいずれもCVSS（シー・ブイ・エス・エス、深刻度の指標）4.0で9.3の重大評価です。CVE（シー・ブイ・イー）は脆弱性の識別番号です。11月13日に照合した一次資料では、実際の悪用は確認できませんでした。

製品と配布系列を照合して、修正版を選ぶ

以下はPayaraのCVE登録に記載された版の範囲です。Serverには2件、MicroにはCVE-2026-90908の範囲を使います。契約で提供された配布物、Community（コミュニティ）版、委託先が用意した配布物を確認し、製品名や番号を記録します。

系列をまたぐ更新では、アプリが使うJavaやライブラリーの版を合わせる必要があります。パッケージ製品の指定構成や保守契約も照合し、更新候補が決まってから業務アプリを検証してください。

管理用の接続を絞り、テスト環境で再開まで試す

1. 業務の接続と管理の接続を切り分ける。 保守担当者が管理用REST、JMX/RMI、監視ツールの接続を洗い出し、業務で必要な経路を残して、管理用を許可した端末や管理ネットワークに絞ります。不要なJMXの接続は停止を検討します。Secure Adminを有効にする場合は管理用の通信と遠隔接続の条件が変わります。空の管理者パスワードや公開範囲を事前に確認し、修正版の適用を進めます。
2. 運用設定と業務データを分けて控える。 Serverの設定のまとまり（ドメイン）、アプリ配布物、証明書、業務データ、更新前のログを確認し、機密情報は制限された場所に保管します。Serverの公式ドメインバックアップを使う手順では、ドメインの停止が必要です。Microを配布物やコンテナで動かす場合は、設定と更新前の配布物の保管先を確認します。保守時間、手作業での代替、必要な工数を決め、問題が起きた場合にどの状態へ戻すかを別環境で試します。
3. 版と業務の両方を確かめて戻す。 再起動や入れ替え後に稼働版を確認し、利用者のログイン、受注や申請の主要操作、データベース接続、定期処理と通知を試します。保守担当以外から管理用の接続先に届かないこと、必要な監視は続くことも確認します。不審な管理操作や配布物の変更が見つかった場合は、復元を先に進めず、接続範囲と記録を保全して調査担当へ共有します。

保守会社に、そのまま聞ける一文

当社の業務アプリでPayaraを使っていますか。ServerかMicroか、配布系列と稼働版、管理用RESTとJMX/RMIに届く範囲を教えてください。対象なら更新先、停止時間、設定と業務データの戻し方、再開時に試す操作を確認したいです。

自社で確認できるセキュリティ対策を見る →

更新や復旧に関する支援範囲を見る →