ニュース約5分で読めます

Ansible基盤のAAPに24件の修正 2.7はCriticalで更新を

Red Hatは2026年10月21日、Ansible Automation Platform(AAP)の2.6と2.7のセキュリティ更新を出し、重なりを除いて24件の脆弱性を直しました。2.7は、PyJWTの認証のすり抜けでCriticalです。2.4と2.5、2.6のコンテナの一部は、まだ直った版が一覧にありません。情シスが確かめることを整理します。

公開 2026年10月23日 18:30情シスのミカタ編集部AIにより執筆チェック済み

文字

この記事のまとめ

Red Hatは10月21日、Ansible Automation Platform(AAP)の2.6(RHSA-2026:87004)と2.7(RHSA-2026:87124)のセキュリティ更新を出しました。重なりを除くと24件の脆弱性です。
2.7の更新はCriticalです。部品のPyJWTに、認証なしでトークンを偽造できる欠陥(CVE-2026-102268、CVSS 9.1)がありました。AAPの部品では、gateway、pulpcore、オペレーターの欠陥も直しました。
2.4と2.5の実行環境、2.5のgatewayとhub、2.6のオペレーターなどは、10月23日の時点で、Red Hatの一覧で「影響あり」のままです。社内のAAPの版を確かめ、直った版がある分から上げます。

こんな方に#30代 #40代 #50代実務

テーマ#Ansible #Red Hat #脆弱性 #パッチ管理 #自動化

目次ひらく

12つの勧告で直ったもの
2気をつけたい脆弱性
3まだ直った版が一覧にないもの
4影響する会社・しない会社
5情シスが今日やること

Red Hatは2026年10月21日、IT の自動化の基盤「Ansible Automation Platform(AAP)」の、2.6と2.7のセキュリティ更新を出しました。2.6向けの勧告(RHSA-2026:87004)は深刻度がImportant、2.7向けの勧告(RHSA-2026:87124)はCriticalです。2つを合わせると、重なりを除いて24件の脆弱性を直しています。

2.7がCriticalなのは、トークンを扱う部品「PyJWT」の欠陥のためです。

2つの勧告で直ったもの

図解。題はAnsible Automation Platformの10月21日の修正。Red Hatの勧告2つで重なりを除くと24件。2.6(RHSA-2026:87004、深刻度Important、RHEL 9のRPM): automation-gateway-server 2.6.20261019-1.el9ap、automation-platform-ui 2.6.15-1.el9ap、python3.12-pulpcore 3.49.71-1.el9ap、python3.12-pyjwt 2.14.0-1.el9ap、直した脆弱性10件。2.7(RHSA-2026:87124、深刻度Critical、コンテナ): gateway・hub、eda-controller、実行環境ee-supportedとde-supported、lightspeed、metrics-service、オペレーター、直した脆弱性21件でコンテナは11種類。気をつけたい脆弱性: CVE-2026-102268(9.1) PyJWTで対称と非対称の両方の方式を受け付ける設定だと認証なしでトークンを偽造できる、CVE-2026-90959(8.1) pulpcoreで権限の低い利用者がファイルを読め署名の鍵を盗める、CVE-2026-92982(8.5) オペレーターでKubernetesの権限の低い利用者がコードを実行できる、CVE-2026-94416(6.8) gatewayで管理者が作った鍵で自動化に使う認証情報を読める。10月23日時点でまだ影響ありのもの: CVE-2026-102268は2.4と2.5の実行環境、CVE-2026-94416は2.5のgateway-rhel8と2.6のgateway-rhel9(コンテナ)、CVE-2026-90959は2.5のhub-rhel8、CVE-2026-92982は2.6の各オペレーター — Ansible Automation Platformの10月21日の修正と、まだ影響ありのもの作成: 編集部 / もとの資料: Red Hat RHSA-2026:87004・RHSA-2026:87124・CVEのVEXデータ

勧告	対象	更新の形	直した脆弱性
RHSA-2026:87004(Important)	AAP 2.6	RHEL 9のRPM。automation-gateway-server 2.6.20261019-1.el9ap、automation-platform-ui 2.6.15-1.el9ap、python3.12-pulpcore 3.49.71-1.el9ap、python3.12-pyjwt 2.14.0-1.el9ap	10件
RHSA-2026:87124(Critical)	AAP 2.7	コンテナのイメージ11種類。gateway、hub、eda-controller、実行環境(ee-supported、de-supported)、lightspeed、metrics-service、オペレーターなど	21件

ドイツのCERT-Bundも、この2つをまとめて注意(WID-SEC-2026-4111)を出しています。10月23日の更新で加わったRHSA-2026:88198は、AAPではなく、同じ部品の欠陥を直したRed Hat Developer Hub 1.10.6の勧告です。

気をつけたい脆弱性

CVE	部品	深刻度	Red Hatの説明
CVE-2026-102268	PyJWT	Critical(CVSS 9.1)	トークンの検証で対称と非対称の両方の方式を受け付けるとき、公開鍵の書き方の違いで、公開鍵を共有の秘密の鍵として扱ってしまう。認証のない遠隔の攻撃者が、本物のようなトークンを作って認証をすり抜けられる。1つの方式だけを使う設定や、JWKのセットで検証する場合は影響しない
CVE-2026-90959	pulpcore	CVSS 8.1	内容をアップロードするAPIで、ファイルのURLの確かめ方にすき間がある。権限の低いログイン済みの利用者が、Pulpが読めるファイルを読める。コンテナのレジストリの署名の秘密鍵を盗まれると、ほかの人の非公開のリポジトリを読み書きできるトークンを作られる
CVE-2026-92982	Ansible Operator Plugins	CVSS 8.5	Kubernetesの権限の低い利用者が、カスタムリソースの値にJinja2のテンプレートを埋め込み、オペレーターのポッドの中でコードを実行できる。オペレーターのサービスアカウントの、クラスター全体の権限を取られる恐れ
CVE-2026-94416	AAPのgateway	CVSS 6.8	管理者がサービスの鍵を作れることを使って、Controllerのサービスになりすますトークンを作れる。AAPが管理先の自動化に使う認証情報(クラウドのIAMの鍵、SSHの秘密鍵など)を読まれる恐れ

2.7の更新では、ほかにもansible-coreのロールの導入で引数を差し込める欠陥(CVE-2026-11332)、GitPython、virtualenv、urllib3、fsspecなどの欠陥を直しています。PyJWTのほかの5件(空の鍵のHMAC、JWKのセットの扱いなど)は、2.6と2.7の両方で直りました。PyJWTの欠陥の中身は、PyJWTに空の鍵でトークン偽造の欠陥 JWKで検証なら2.14.0へでも取り上げています。

まだ直った版が一覧にないもの

Red HatのCVEごとの脆弱性のデータ(VEX)では、10月23日の時点で、次のものが「影響あり」のままです。

CVE	影響ありとされている製品
CVE-2026-102268(PyJWT)	AAP 2.4と2.5の実行環境(ee-supported-rhel8・rhel9)
CVE-2026-94416(gateway)	AAP 2.5のgateway-rhel8、AAP 2.6のgateway-rhel9(コンテナ)
CVE-2026-90959(pulpcore)	AAP 2.5のhub-rhel8
CVE-2026-92982(オペレーター)	AAP 2.6の各オペレーター(controller、gateway、hub、eda-controllerなど)

Red Hatは、CVE-2026-102268について、使いやすく広く当てられる回避策は無いとしています。

影響する会社・しない会社

影響する: 社内でAAP 2.6をRHEL 9のRPMで動かしている会社です。RHSA-2026:87004の4つのパッケージを上げます。
影響する: AAP 2.7をコンテナで動かしている会社です。RHSA-2026:87124の11種類のイメージに入れ替えます。
影響する: AAP 2.4・2.5や、2.6をコンテナとオペレーターで動かしている会社です。一部は、まだ直った版がRed Hatの一覧にありません。
影響しない: AAPを使っていない会社です。ただし、自社のアプリでPyJWTを使っていれば、PyJWTの記事のとおり2.14.0以降へ上げます。

情シスが今日やること

社内のAAPの版と動かし方を確かめます。 2.4・2.5・2.6・2.7のどれか、RPMかコンテナかオペレーターかを、自動化の基盤の担当と確かめます。
直った版がある分を上げます。 2.6のRPMはRHSA-2026:87004のパッケージへ、2.7はRHSA-2026:87124のイメージへ更新します。止める時間と、更新のあとに自動化の仕事が動くかの確かめ方を決めます。
2.4・2.5と2.6のコンテナ・オペレーターは、Red Hatのデータを見張ります。 直った版が出たらすぐ上げる担当を決めます。2.4・2.5は、2.6か2.7への移行の計画も並べて立てます(当社の見立て)。
AAPが預かる認証情報を見直します。 gatewayやpulpcoreに不審な利用者や操作がなかったかを記録で見ます。心配なら、AAPに登録したクラウドの鍵やSSHの鍵を入れ替える計画を立てます(当社の見立て)。
AAPに入れる権限を絞ります。 管理者の権限と、hub(コンテンツ)にアップロードできる利用者を見直し、要らないアカウントを外します。

よくある質問

Qどの版に上げればよいですか。

A2.6はRHEL 9のRPMで、automation-gateway-server 2.6.20261019-1.el9ap、automation-platform-ui 2.6.15-1.el9ap、python3.12-pulpcore 3.49.71-1.el9ap、python3.12-pyjwt 2.14.0-1.el9apなどです。2.7はコンテナの更新で、gateway、hub、eda-controller、実行環境など11種類のイメージが入れ替わります。

Q認証なしで攻撃されますか。

ARed Hatは、PyJWTのCVE-2026-102268を、認証のない遠隔の攻撃者がトークンを偽造できるとしてCriticalにしています。ただし、トークンの検証で対称と非対称の両方の方式を受け付ける設定のときに起きるとしています。AAPの部品の欠陥(gateway、pulpcore、オペレーター)は、どれもログインした利用者や管理者の権限が要るものです。