本文へ移動

脆弱性修正版あり公表

MendixのSSOに認証回避のおそれ　SAMLモジュールの更新を案内

ログインに使う応答の再利用により、なりすましのおそれ。IdP側から開始するSSOを利用するアプリが対象です。

対象となる人

MendixアプリでIdP-initiated SSOを使う管理者。SAMLモジュールが9向け3.6.29未満、10・11向け4.2.4未満の環境です。1

今すべきこと

公式の案内

SAMLモジュールを9向け3.6.29以降／10・11向け4.2.4以降へ更新。更新までの回避策はIdP-initiated SSOの無効化です。1

初回公表: 2026.10.26
参照情報の更新: 2026.10.26
当サイトの確認: 2026.10.31

#Mendix #SAML #SSO #CVE-2026-89209

押さえたい、3つのポイント

SSOの認証を回避するおそれ
認証基盤から開始するSSO（IdP-initiated SSO）で、有効なSAML応答を再利用される問題です。1
対象はSAMLモジュール
Mendix 9向けは3.6.29未満、Mendix 10・11向けは4.2.4未満が対象です。Mendix本体の版とは区別してください。1
更新または対象機能の無効化
それぞれ3.6.29以降／4.2.4以降へ更新。回避策としてIdP-initiated SSOを無効にする方法を案内しています。1

公式ソースを確認する

1Siemens ProductCERT：SSA-137528（10月26日公開） ↗cert-portal.siemens.com

𝕏 でシェア

もう少し詳しく

深刻度と被害の有無: CVE-2026-89209のCVSS 3.1は6.8、CVSS 4.0は7.6。今回確認した公式勧告には、実際の悪用や被害の発表はありません。1

製品を利用しているだけで被害が起きたとは扱いません。対象モジュールの版とSSOの設定条件を確認してください。