AWSは11月3日（太平洋時間）、Amazon Redshift JDBC DriverのCVE-2026-119084を、注意が必要なセキュリティ情報として公開した。影響するのは2.3.0未満である。特定の条件下で、JDBC接続URLのパラメータ、またはAWS認証情報プロファイルのフィールドを処理するとき、ドライバが任意のクラスを読み込み、アプリケーションの権限で実行し得る。接続URLかプロファイルを操作できる主体が、その条件を満たせばコード実行につながる。
修正は2.3.0に入っており、最新版はRedshiftのドキュメントとMaven Centralから入手できる。フォークや派生コードも、同じ修正を取り込む必要がある。すぐに更新できない場合は、接続URLと認証情報プロファイルを信頼できない入力から組み立てない。外部から値を受けるなら、想定したパラメータと値の許可リストで検証する。
バッチや社内ツールが、利用者の入力や設定ファイルをそのままJDBC URLへ連結している場合が典型的な当たり所になる。依存関係に2.3.0未満が残っていないか確認し、認証情報ファイルを共有している環境では、プロファイルの項目を誰が編集できるかも合わせて見る。