Broadcomは10月27日火曜日、一般公開に先立ち、重要インフラ事業者などの条件を満たす早期アクセス顧客に対して、TrueSource Spring Enterpriseの89件の脆弱性を修正したと発表した。また、影響を受けるアプリケーションの特定とパッチの展開を支援するツールも導入した。
セキュリティチームにとって実務上の問題は、どのアプリケーションに修正が必要で、更新が本番環境に適用されるかだ。脆弱な依存関係の発見、変更の承認、展開の確認は、それぞれ別の工程となる。
新ツールでパッチ適用のギャップに対応
Broadcomは、パッチは展開されて初めてシステムを保護するものであり、これは パッチ管理における中心的な懸念だと認めた。このギャップに対処するため、同社はTrueSource Hubを追加した。これはコードリポジトリに接続し、修正が必要なSpringアプリケーションと、サポート対象外となったバージョンをリアルタイムで可視化する。
同社はさらに、既存のMavenおよびGradleのワークフローに統合できるApplication Advisor向けビルドプラグインを導入し、承認済みの修正についてプルリクエストを自動生成できるようにした。加えて、JFrog Zero-Touch Remediationとの統合により、検証済みの修正をビルドに直接組み込めるようにした。
取り組みの規模
Broadcomによると、同社のエンジニアは2026年中にSpringおよびReactorライブラリで新たに406件の脆弱性を修正し、バックポート798件を含む合計1,090件を超える修正を実施した。チームは2,600件を超えるセキュリティ報告を調査し、3,000件を超える誤検知を除外した。
これまでの修正には、信頼できないJMS環境に影響する高深刻度のSpring Frameworkデシリアライゼーション脆弱性CVE-2026-41855、メンテナーによる現在の評価が8.7となっているNettyのDNSキャッシュポイズニング脆弱性CVE-2026-47691、特定のOAuth2および証明書設定下で偽造された認証トークンを可能にする、評価9.2のRabbitMQ脆弱性CVE-2026-67404が含まれる。
「セキュリティは一度限りの取り組みではなく、継続的なコミットメントだ」とPurnima PadmanabhanBroadcomのTanzu Divisionゼネラルマネージャーは述べた。「6月、私たちはSpringの脆弱性をこれまで以上に迅速に特定し、解決すると約束した。今回のリリースは、取り組みが引き続き前進していることを示している」
修正を展開する前にセキュリティチームが確認すべきこと
まず、Springアプリケーションを依存関係、サポート対象のリリース系列、アプリケーション所有者と対応付ける。今回新たに発表された修正のうち、どれが対象のデプロイに適用されるのか、また組織が早期アクセスの条件を満たすのかをBroadcomに確認する。ポートフォリオ全体の脆弱性件数だけでは、個々のアプリケーションが受ける影響は判断できない。
Broadcomによると、Application Advisorのプラグインはレビュー可能なプルリクエストを生成し、JFrogとの統合は修正をビルドに直接組み込む。各アプリケーションがどちらの経路を使うのか、誰が変更を承認するのか、展開前にどのテストに合格する必要があるのかを、チームは明確にしておくべきだ。自動パッチ管理は、既存の変更管理とロールバック手順に適合させる必要がある。
既存の 脆弱性管理ツールとの互換性も確認が必要だ。Broadcomは、Snykが同社のパッチ適用済みSpringバージョンを認識していることを、継続的なパートナーシップの成果として説明している。検出結果を抑制する前に、使用中のスキャナーが正確なパッチ適用済みアーティファクトを認識するか確認し、その判断を裏付けるベンダーのアドバイザリーとパッケージの証拠を保存しておく。
ビルド記録は、アプリケーションにどのライブラリが含まれるかの文書化に役立つ。ただしチームは、生成されたアーティファクトが実行中のワークロードに到達したことも確認すべきだ。プルリクエストがマージされたことやビルドが成功したことだけで、是正チケットを完了扱いにしてはならない。
このワークフローを導入する前に、ITリーダーはライセンス費用、リポジトリへのアクセス要件、監査データのエクスポート、既存のセキュリティツールとの互換性を確認すべきだ。重要なのは、テスト、承認、展開の証跡を維持しながら、影響を受けるアプリケーションが危険にさらされ続ける時間を短縮できるかどうかである。
Broadcomによると、Hubとビルドプラグインを含むTrueSource Spring Enterpriseは一般提供されている。今回新たに発表された修正へのアクセスは当初、条件を満たす早期アクセス顧客と重要インフラ顧客に限られ、脆弱性の詳細とCVEの公開はその後に行われる。
続きを読む：Springアプリケーション以外のパッチ対応では、 対応範囲、自動化、展開制御でパッチ管理プロバイダーを比較し、より広範な環境への適合性を評価する。