Erlang / Elixirの脆弱性情報まとめ

2026年に公表されたもののうち、Erlang/OTP本体、Elixir本体、よく使われるHexのパッケージで確かめておきたいものです。米CISAのKEV（悪用が確認された脆弱性の一覧、10月30日版）に載っているErlang/OTPの項目は、SSHサーバーのCVE-2025-32433の1件です。[1]

KEVのCVE-2025-32433の項目は、Cisco・NetApp・SUSEなど、Erlang/OTPのSSHサーバーを組み込んだ製品も対象になりうると書いています。[1] 自社で書いたコードでなくても、Erlangで動く製品や機器は提供元の告知を確かめます。

Erlang/OTPがセキュリティの更新と修正を出すのは、最新の3つのメジャー版です。[11] 11月2日時点では29・28・27の3系列で、10月15日（日本時間）に各系列の最新版が出ています。[12]

Elixirは、不具合の修正を最新のマイナー版だけに、セキュリティの修正を最近の5つのマイナー版（1.16〜1.20）に出す方針です。[13] ただし10月30日の3件の修正版は1.18.6・1.19.7・1.20.5で、1.17以前の修正版はアドバイザリに記載がありません。[6] Elixirの版ごとに使えるOTPは決まっていて、1.20は27〜29、1.19は26〜28、1.18は25〜27です。[13] OTPを上げるときは、Elixirも合わせて上げます。

Elixir（Mix）では、Hexのmix hex.auditを使います。Hex 2.5（6月29日）からは、取り下げられた版に加えて、セキュリティのアドバイザリがある依存も一覧に出し、見つかればゼロ以外の終了コードを返します。[14][15] mix deps.getでもアドバイザリのある版に印が付きますが、ビルドは止まりません。CIではmix hex.auditを実行します。

mix local.hex --force
mix hex.audit
mix deps.tree
mix deps.update plug

対象外と判断したアドバイザリは、mix.exsのhexのignore_advisoriesにCVEかGHSAの番号を書いて除けます。[15]

rebar3には、アドバイザリを調べるコマンドが組み込まれていません。有志のプラグインrebar3_auditは、rebar.lockの版をGitHub Advisory Databaseと照らし合わせます。OTP 27以上が必要です。[16]

%% rebar.config
{project_plugins, [rebar3_audit]}.

rebar3 audit
rebar3 tree
rebar3 upgrade cowboy

OSV-Scannerはmix.lockを読めますが、rebar.lockには対応していません。[17]

1. OTPの版は細かい番号まで見る：erlang:system_info(otp_release)で分かるのは29のようなメジャー版だけです。開発環境ではreleases/<メジャー版>/OTP_VERSIONのファイルに29.1.2のような版が書かれています。[18]
2. 本番のリリースでは、アプリケーションの版を見る：OTPのツールで作ったリリースにはOTP_VERSIONのファイルが置かれません。[18] リモートコンソールでapplication:which_applications().（ElixirはApplication.spec(:ssl, :vsn)）を実行し、ssl・ssh・inetsの版をアドバイザリに書かれたアプリケーションの版と比べます。
3. リリースを作り直す：Elixirのmix releaseは、既定でERTS（実行環境）をリリースに含めます。ホストのOTPを上げても、動いているリリースは変わりません。新しいOTPでビルドし直して配備します。
4. SSHサーバーとhttpdを使っているか：CVE-2025-32433はSSHサーバー、9月のinetsの件はhttpdを使う構成が対象です。コードでssh:daemonやinets:start(httpd, …)を呼んでいるかを探し、使っていれば各系列の最新へ上げます。提供元は、上げるまでSSHサーバーを止めるか、ファイアウォールで接続を絞るよう案内しています。[2]
5. TLSのクライアント：CVE-2026-89422は、外部のAPIやデータベースにssl:connectでつなぐ側が対象です。サーバーとして動かしていなくても、HTTPSで外に出るなら確かめます。