AWSは10月22日、セキュリティ情報2026-145-AWSでCVE-2026-115414を公開した。対象はオープンソースのAWS SAM CLIで、TerraformフックがMakefileのレシピを作るとき、Terraformリソースのアドレスに含まれるシェルのメタ文字を十分に無効化しない。sam build --hook-name terraformが読む設定ファイルやプランを改変できる相手は、ビルドを実行しているホスト上で、ビルドユーザーとして任意のコマンドを実行できる。
影響バージョンは1.63.0以上、1.166.1以下。サーバレスアプリをTerraformとSAM CLIの組み合わせで構築しているCIが主な確認対象になる。設定が社内だけで完結していても、第三者が公開するTerraformモジュールや、フォークされたプランファイルを取り込むパイプラインなら、その入力がコマンドになる。依存関係のロックと同様に、ビルド定義の出所を境界として扱う必要がある。
修正は1.166.2で入った。AWSは最新版への更新と、フォークや派生物への同じ修正の取り込みを推奨している。すぐ更新できない場合は、このフックが消費する設定とプランを信頼できるソースだけにし、共有リポジトリや外部モジュールを点検する。これは暫定策で、メタ文字の処理そのものは更新で直る。SAM CLIをCIイメージに焼き込んでいる場合は、イメージの再ビルドと、実行中のセルフホストランナーが古いバイナリを掴んでいないかの確認までが作業になる。