チップス
どんぐり大学卒、一般企業の情報システム部で働く若手エンジニア。
入社1〜3年目らしい悩みを抱えつつ、日々の運用やセキュリティ対応に奮闘中。慌てんぼうだが素直で吸収力が高く、ボスに鍛えられながら着実に成長している。
ボス
セキュリティ、インフラ、運用の修羅場をくぐってきた歴戦のエンジニア。サイバーセキュリティラボの所長でボスと呼ばれている。
現場視点と経営視点の両方から、本当に使えるセキュリティとキャリア戦略を叩き込む。口は悪いが面倒見はよく、若手育成と実践的な情報発信に力を注いでいる。
@boss_sec_labo
「Apache Flinkでデータ処理基盤を組んでいるけど、認証済みユーザーがコード実行できるって本当？」
「SQLのエスケープ処理に不備って、自社のクエリを見直せば大丈夫なの？」
チップスボス、Flinkにクリティカル脆弱性って出てましゅけど、ストリーム処理基盤って業務システムでも結構使われてましゅよね？
ボスうむ、CVE-2026-35194だ。CVSS 8.1で、SQLコード生成のエスケープ処理に不備があり、認証済みユーザーがTaskManager上で任意コード実行できる。
本記事ではApache Flinkの新しい脆弱性CVE-2026-35194の仕組みと、影響範囲、適切なアップデート判断を解説します。
リアルタイム分析・データ連携基盤でFlinkを採用している組織は確認が必要です。
続きを読めば、Flink環境で確認すべき箇所と、社内に複数の分析担当者がいる組織で取るべき優先対応が見えてきます。
オススメ求人・フリーランス案件
【既存インターネット閲覧環境のリプレース・SaaS移行に伴う技術支援】門前仲町（リモート併用）／セキュリティ製品の選定から携わる上流インフラ案件
【大手金融機関でのセキュリティ運用体制強化・SOC再検討支援】晴海／セキュリティ運用設計・コンサルティング
【セキュリティ製品を駆使したSOC Tier2運用・インシデント分析】勝どき／CDN・WAF・EDRアラート分析・改善支援
【Google Sec Opsを活用した大手企業向けセキュリティ運用・分析】大手町／最新セキュリティソリューション・リモート併用
【ISO27001準拠のセキュリティ施策推進・アドバイザリ】海浜幕張／週2リモート併用・PMO
【SOC・CSIRTでのインシデント分析・対応】飯田橋／リモート併用
【製造業向けセキュリティ評価支援（IT/OT横断）】フルリモート／NIST CSF・セキュリティガバナンス
【客先グループ内セキュリティ管理チーム支援（M365運用）】大崎（リモート併用）／インシデント対応・M365
【行政向けセキュリティ機能導入（Microsoft Defender）】渋谷（常駐）／テスト・運用設計・手順書作成
【顧客内セキュリティ対応に向けたインフラ設計・構築】京橋／Azure・OCI・ハイブリッドクラウド
社内SE【年収700～1500万円】セキュリティ・インフラの構築・運用
【東証プライム】情報セキュリティマネージャー候補・事業成長支援（850～1100万円）
【年収500〜800万円】日立グループ｜自動車サイバーセキュリティコンサルタント（横浜・在宅可）
【三菱地所グループ】セキュリティエンジニア（マネジメント・エンジニアリング）年収628〜1200万円
【野村不動産グループ】情報セキュリティ担当課長候補・年収808〜844万円・週3日リモート
【社内セキュリティ推進室長】800〜1100万円｜人材大手ディップ・リモートOK
KADOKAWAグループ向けセキュリティコンサルタント｜個人情報管理・相談対応（テレワーク）
【年収750〜1200万円】グローバル7拠点・プロダクトセキュリティエンジニア（東京）
【750～1100万円】社内ITセキュリティマネージャー｜IPO準備中のイノベーションファーム
情報セキュリティ施策推進担当者【550～765万円・在宅メイン】
FlinkはSQLクエリを内部でJavaコードに変換して実行します。
その変換ロジックに脆弱性があり、エスケープ漏れがそのままコード実行につながります。
脆弱性はFlinkのSQLコード生成処理における文字列エスケープ処理の不備です。
JSON関数処理と、ESCAPE句を伴うLIKE式が該当する経路として明らかにされています。
細工されたクエリを送信すると、生成される実行コード（TaskManager上で動くJavaクラス）に攻撃者の文字列が組み込まれ、任意コードが実行される構造です。
影響範囲と修正版を整理します。
| 項目 | 内容 |
|---|---|
| CVE | CVE-2026-35194 |
| CVSS | 8.1（クリティカル） |
| 影響経路 | JSON関数処理／ESCAPE句を伴うLIKE式 |
| 前提条件 | 認証済みかつクエリ送信権限を保持 |
| 修正版 | Flink 2.2.1／2.1.2／2.0.2／1.20.4 |
TaskManagerは実際の計算処理を担うFlinkのワーカープロセスです。
クラスタ内で広範なデータアクセス権限を持ち、コネクタを通じて外部のRDB・Kafka・S3にも接続します。
ここでコード実行されると、分析対象データの抜き取りや、横展開してのクラスタ全体侵害につながるおそれがあります。
チップス分析基盤って、社内データの大半が集まる場所でしゅよね…そこを乗っ取られたら大事件でしゅ。
ボスうむ、データ基盤は機密の集積地だ。エンドポイント1台より、こちらが侵害される方が痛い。
Flinkはバージョンが頻繁に上がるプロダクトで、いま使っている系列が古いほど対応の手間が増えます。
更新方針と運用上の補助策を整理しましょう。
4系列に修正版が出ているため、自社で稼働中の系列に近いマイナー更新で済ませられるのが利点です。
2.x系を使っている場合は最新パッチへ、1.x系を使っている場合は1.20.4が選択肢になります。
古い1.16以前を使っているケースでは、サポート切れの可能性も含めて1.20系へ移行する判断が必要です。
更新前のチェック項目はこちらです。
認証済み前提の脆弱性は、社内利用者の権限管理で被害範囲が大きく変わります。
分析者のロールと、運用者・データエンジニアのロールを明確に分け、書き込みやUDF登録は最小限のメンバーに絞るべきです。
監査ログには送信元アカウント・クエリ全文・タイムスタンプを残し、異常なクエリを後追いできる体制を整えるのが安全です。
チップス分析担当が多いと、誰が何を流したか分からなくなりがちでしゅよね…
ボスうむ、ログを残せ。残せば犯人が分かる。残さなければ何も分からん。
CVE-2026-35194は技術的には地味なエスケープ漏れですが、Flink環境では決して軽い問題ではありません。
取るべき行動を整理します。
チップス分析基盤を守る具体的なアクションが分かったでしゅ！
ボスうむ、データを守ることはビジネスを守ることだ。地味でも確実に進めよ。
詳しい情報はSecurity NEXTの報道とApache Flink公式アドバイザリを参照してください。
オススメ求人・フリーランス案件
【既存インターネット閲覧環境のリプレース・SaaS移行に伴う技術支援】門前仲町（リモート併用）／セキュリティ製品の選定から携わる上流インフラ案件
【大手金融機関でのセキュリティ運用体制強化・SOC再検討支援】晴海／セキュリティ運用設計・コンサルティング
【セキュリティ製品を駆使したSOC Tier2運用・インシデント分析】勝どき／CDN・WAF・EDRアラート分析・改善支援
【Google Sec Opsを活用した大手企業向けセキュリティ運用・分析】大手町／最新セキュリティソリューション・リモート併用
【ISO27001準拠のセキュリティ施策推進・アドバイザリ】海浜幕張／週2リモート併用・PMO
【SOC・CSIRTでのインシデント分析・対応】飯田橋／リモート併用
【製造業向けセキュリティ評価支援（IT/OT横断）】フルリモート／NIST CSF・セキュリティガバナンス
【客先グループ内セキュリティ管理チーム支援（M365運用）】大崎（リモート併用）／インシデント対応・M365
【行政向けセキュリティ機能導入（Microsoft Defender）】渋谷（常駐）／テスト・運用設計・手順書作成
【顧客内セキュリティ対応に向けたインフラ設計・構築】京橋／Azure・OCI・ハイブリッドクラウド
社内SE【年収700～1500万円】セキュリティ・インフラの構築・運用
【東証プライム】情報セキュリティマネージャー候補・事業成長支援（850～1100万円）
【年収500〜800万円】日立グループ｜自動車サイバーセキュリティコンサルタント（横浜・在宅可）
【三菱地所グループ】セキュリティエンジニア（マネジメント・エンジニアリング）年収628〜1200万円
【野村不動産グループ】情報セキュリティ担当課長候補・年収808〜844万円・週3日リモート
【社内セキュリティ推進室長】800〜1100万円｜人材大手ディップ・リモートOK
KADOKAWAグループ向けセキュリティコンサルタント｜個人情報管理・相談対応（テレワーク）
【年収750〜1200万円】グローバル7拠点・プロダクトセキュリティエンジニア（東京）
【750～1100万円】社内ITセキュリティマネージャー｜IPO準備中のイノベーションファーム
情報セキュリティ施策推進担当者【550～765万円・在宅メイン】
