AWSはセキュリティ告示2026-136-AWSで、Amazon NeptuneのCVE-2026-110812を公表した。公開は2026年10月15日。Apache TinkerPopのGremlin機能のうち、Neptuneが使うグラフ取り込みの経路で、信頼できないデータを不安全に処理する問題である。告示の標題は、信頼できないデータのデシリアライズとしている。
条件を満たすと、Neptuneのデータプレーン、つまりクエリ権限を持つ認証済みの主体がリクエストを送り、クエリエンジンがその入力を不安全に処理する。結果として、クエリエンジンの環境の中で意図しない動作が起き得る。インターネットから誰でも届く、という書き方はされていない。影響を受けるエンジンは1.2.0.0以降だ。
修正が入ったエンジンバージョンは1.4.7.1、1.4.8.1、1.5.0.0。マイナーバージョンの自動アップグレードが有効なクラスタは、次のメンテナンスウィンドウで更新を受ける。エンジンバージョンを自分で固定している場合は、使っている系統に対応する修正版へ上げる。
上げるまでの緩和は、neptune-dbのクエリ権限を信頼できる主体だけに限ることだ。Neptuneを使っているチームは、自動更新の有無と、現行バージョンが三つの修正版のどれに対応するかを先に確認する。