AWSは2026年10月22日(米国太平洋時間)、Amazon Athena engine version 3の認可チェックに脆弱性があったと公表しました。認証済みのユーザーが、他のAWSアカウントの識別子やSQL文を含む情報を閲覧できた可能性があります。AWSは2026年10月7日に修正しており、利用者側の対応は不要としています。
閲覧できた可能性があるのはSQL文などの付随情報
脆弱性の識別番号はCVE-2026-115416です。問題があったのは、クエリと呼ぶデータへの問い合わせを処理する際の認可チェックです。認可とは、そのユーザーに情報を見せてよいかなど、操作の権限を判定する仕組みです。
AWSによると、この不備により、認証済みユーザーが他のAWSアカウントの識別子を読めた可能性があります。また、SQL文を含むクエリメタデータも閲覧できた可能性があります。SQL文はデータへの問い合わせ内容を記したもので、クエリメタデータは問い合わせに付随する情報です。
一方、AWSは、この脆弱性ではクエリ結果にはアクセスできなかったと説明しています。Amazon S3や、その他のデータソース内にあるデータにもアクセスできなかったとしています。
社内に伝える際は、「問い合わせ内容が見えた可能性」と「問い合わせで得られる結果や保存データ」を分ける必要があります。今回の発表を、そのまま保存データの流出を示すものとして扱うのは適切ではありません。
修正済みで、利用者による作業は不要
AWSは2026年10月7日に問題を修正しました。利用者側の対応は不要とし、回避策も案内していません。情シスが独自に更新作業や設定変更を決めるのではなく、まずは「提供元で修正済み」という状況を関係者に共有するのが今回の対応の出発点です。
日本での提供状況や、日本リージョンへの影響の内訳は、発表には書かれていません。日本の利用環境が対象外だと判断する根拠にはせず、発表で示されたエンジンの版を基準に利用状況を整理してください。
影響する会社・しない会社
- 影響する: Amazon Athena engine version 3を利用している会社です。今回の脆弱性の対象として、この版が示されています。ただし、対象の利用と、実際に情報を閲覧されたことは別です。
- 影響しない: Amazon Athenaを利用していない会社は、今回示された対象に該当しません。
- 影響しない: クエリ結果やAmazon S3などの保存データについては、今回の脆弱性ではアクセスできなかったとAWSが説明しています。ただし、これは会社全体の安全性を示すものではなく、この脆弱性でアクセス可能だった範囲の説明です。
情シスが今日やること
以下は修正のための必須作業ではなく、社内の状況整理と説明のための確認です。AWSは利用者側の対応を不要としています。
- 利用担当者に対象の版を確認する。 Athenaの運用担当者や委託先に、engine version 3を利用しているか確認を依頼します。具体的な管理画面の確認箇所は発表には書かれていないため、画面操作を決めつけず、利用構成の記録と照合してください。
- 脆弱性管理の記録を残す。 CVE-2026-115416、対象の版、2026年10月7日に修正済みであること、利用者対応は不要であることをまとめます。自社でのパッチ適用待ちと混同しない記録にします。
- データ管理の責任者に影響範囲を知らせる。 閲覧できた可能性があるのはアカウント識別子やSQL文を含むメタデータであり、クエリ結果や保存データにはアクセスできなかったという説明をセットで共有します。
- 追加対応の要否を担当者間で整理する。 発表は利用者側の対応を不要としており、作業期限も示していません。対象版の利用有無が不明なら、まず確認の担当者を決め、不要な設定変更や更新作業を先に進めないようにします。
