IBM Process Miningに情報漏えいの脆弱性、修正版あり
IBM Process Mining 2.0.0から2.2.1に、アクセス制御の不備で機密情報が取得されるおそれのある重大な脆弱性が公表されました。該当版を使う組織は、中間修正の2.2.1 IF001を適用してください。
急ぎ度: 早めに
CVSS v3は9.3で重大に分類され、認証も利用者の操作も要らない評価ですが、修正版の2.2.1 IF001がすでに公開されています。
関係があるか
IBM Process Miningの2.0.0から2.2.1を自社で運用している組織が対象です。業務ログを取り込んで分析する用途が多く、社内ネットワークから届く環境でも評価上は攻撃の対象になります。
| 製品 | 影響を受ける版 | 修正版 |
|---|---|---|
| IBM Process Mining | 2.0.0から2.2.1まで | 2.2.1 IF001（2026年10月の中間修正） |
確かめ方
- 1運用中のProcess Miningの版を、管理者向けの画面や導入時の構築記録で確認します。2.0.0から2.2.1の範囲に入っていれば対象です。
- 2社内の資産台帳や部門のクラウド契約を調べ、情報システム部門が把握していないProcess Miningがないかを確認します。
- 3対象の版が見つかったら、どのネットワークから接続できるかを洗い出します。評価上の攻撃元は同じネットワークの内側です。
- 42.2.1より前の版にIF001をどう当てるかは、IBMのセキュリティ情報（Security Bulletin）で手順と前提を確認します。
何が起きたか
IBM Process Miningに、アクセス制御が正しく働かない脆弱性があります。攻撃者が本来見られないはずの機密情報を取得できる可能性があり、影響するのは2.0.0から2.2.1です。分類はCWE-284（不適切なアクセス制御）です。
CVSS v3は9.3です。評価では機密性と完全性への影響がどちらも高く、可用性への影響はありません。影響が脆弱なコンポーネントの外へ及ぶ評価（スコープ変更）も付いています。CVEの説明文は情報の取得だけを挙げていますが、スコアには改ざんの影響も含まれています。
CVEは2026年11月8日に公表されました。IBMはProcess Mining 2.2.1 IF001で複数の脆弱性に対処したと案内しています。同じ案内には、PyMongoやurllib3といったPythonライブラリの脆弱性、メール通知の流量制限が不十分な問題も含まれます。IF001を当てれば、これらもまとめて対処されます。
攻撃の流れ
-
1
到達できる位置
攻撃者がProcess Miningに接続できるネットワーク上の位置につきます。
-
2
認可の不備を突く
アクセス制御が働かない部分に、認証なしで要求を送ります。
-
3
機密情報の取得
本来は見られないはずの情報が読み出されます。
-
4
影響範囲の拡大
評価上は、Process Mining自体の外にも影響が及ぶ可能性があります。
どう悪用されるか
CVSSのベクターでは、攻撃元は隣接ネットワークです。つまりProcess Miningに接続できる同じネットワークの内側に位置する攻撃者を想定しています。認証は不要で、利用者の操作も要らず、攻撃の複雑さは低い評価です。CVEの説明文は「remote attacker」と書いています。
悪用された場合の被害は、機密情報の取得です。評価では情報の改ざんにあたる影響も高く、影響がほかのコンポーネントに及ぶ点も加味されています。サービス停止（可用性）への影響はないと評価されています。
今すぐやること
-
1
対象の版かどうかを確認する
運用中のProcess Miningの版を調べ、2.0.0から2.2.1に当たるかを確認します。検証環境や部門が独自に立てた環境も漏らさず対象にします。
-
2
2.2.1 IF001を適用する
IBMのセキュリティ情報に従って、中間修正の2.2.1 IF001を適用します。同じ案内にはPythonライブラリなどの脆弱性への対処も含まれるため、個別の更新は不要です。
-
3
接続元の範囲を見直す
適用までのあいだ、Process Miningへ接続できるネットワークを管理端末や利用部門に絞れているかを確認します。評価上の攻撃元が内側のネットワークだからです。
-
4
適用前のアクセスを確認する
公表前から使われていた環境では、普段と違う接続元からのアクセスや、見慣れない情報取得の記録がないかをログで確認します。
背景
Process Miningは、基幹システムや業務アプリが出力するイベントログを取り込み、業務の流れを可視化して滞留や手戻りを見つける製品です。取り込まれるのは受発注や承認といった業務データの履歴で、社内の複数システムの情報がここに集まります。そのためアクセス制御に不備があると、読み出される範囲が1つの画面にとどまらないおそれがあります。
今回の修正は、新しい製品版ではなく、2.2.1向けの中間修正（Interim Fix）として出ています。通常の更新手順では見落としやすいため、情報システム部門はIBMのセキュリティ情報を直接確認しておくと確実です。
よくある質問
Q.インターネットに公開していなければ、対応は後回しでよいですか。
まだ分かっていないこと
- アクセス制御のどの部分に不備があり、どの種類の情報が取得されるかは、CVEの記録に書かれていません。
- CVEの公表時点で、実際の攻撃で悪用されたという情報は示されていません。
この記事は、取得元の公開情報をもとに、人が監修しながらAIを活用して執筆しています。執筆と監修は佐々木 航が担い、公開したあとも人が内容を確認しています。誤りに気づいたときは直し、記事の末尾に訂正の行を残します。対応を決める前に、下の原文と参照先も確認してください。
影響パッケージ
| パッケージ | 影響を受ける版 → 修正版 | |
|---|---|---|
| IBMProcess Mining |
2.0.0 〜 2.2.1→ 記載なし |
記載なし |
この記録には修正版の版が載っていません。修正版の有無と版は、本文か参照URLのベンダーの勧告で確かめてください。
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
IBM Process Mining 2.0.0 through 2.2.1 could allow a remote attacker to obtain sensitive information due to improper access control.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web ibm.com
- web nvd.nist.gov
- web github.com