IBM API Connectの更新で脆弱性30件以上、修正版あり
IBM API Connectの10.0.8系と12.1系に、認証後にコード実行などを許すCVSS v3が9.9の脆弱性12件が公表され、同じ更新で少なくとも30件が修正されました。管理者は修正版へ更新し、アカウントと到達範囲も見直してください。
同じ発表の脆弱性 12 件
この記事でまとめた分です。発表元の告知には、ほかの脆弱性も載っていることがあります。
急ぎ度: 早めに
CVSS v3が9.9のコード実行などの脆弱性が12件あり、修正版も公開済みのため、定例の更新を待たず早めに適用する段階です。
関係があるか
API Connectの10.0.8系または12.1系を運用している組織が対象です。12件のうち3件は12.1系だけが影響を受け、残りは両方の系列が対象です。
| 製品 | 影響を受ける版 | 修正版 |
|---|---|---|
| IBM API Connect 12.1系 | 12.1.0.0から12.1.1.2 | 12.1.1.3 |
| IBM API Connect 10.0.8系 | 10.0.8.0から10.0.8.12 | 10.0.8.13 |
確かめ方
- 1運用中のAPI Connectが10.0.8系か12.1系かを、導入時の構成記録やリリース管理の台帳で確認します。
- 2版が上の範囲に入っていれば対象です。10.0.8系と12.1系の両方を動かしている場合は、系列ごとに確認します。
- 3どちらの系列でもない版を使っている場合は、IBMのセキュリティ告知で自分の版が対象かどうかを確認します。
何が起きたか
IBM API Connectの10.0.8系と12.1系に、CVSS v3が9.9の脆弱性が12件公表されました。API管理基盤のサーバー上でコードやコマンドを実行されたり、ほかのテナントの情報や管理権限に手が届いたりするもので、修正版はすでに公開されています。
CVSS v3が9.9の12件は次のとおりです。
- CVE-2026-17147: パストラバーサルにより、任意のコード実行と不正な管理操作が行われる（CVSS v3は9.9）
- CVE-2026-17150: アップロードされたカスタムモジュールの検証が不十分で、コード実行と他テナントの情報取得が起きる（CVSS v3は9.9）
- CVE-2026-17158: 認証の不備により、権限を昇格される（CVSS v3は9.9）
- CVE-2026-17239: パストラバーサルにより、任意のコードが実行される（CVSS v3は9.9）
- CVE-2026-17298: SSRFにより、機密情報を取得される（CVSS v3は9.9）
- CVE-2026-17336: SQLインジェクションにより、任意のSQLコマンドが実行される（CVSS v3は9.9）
- CVE-2026-17342: コード生成の制御の不備により、任意のコードが実行される（CVSS v3は9.9）
- CVE-2026-17354: パストラバーサルにより、任意のファイルを書き込まれる（CVSS v3は9.9）
- CVE-2026-17359: ユーザー指定の値が製品の生成するコードに影響し、任意のコードが実行される（CVSS v3は9.9）
- CVE-2026-17392: LDAPインジェクションにより、他テナントの管理権限を不正に得られる（CVSS v3は9.9）
- CVE-2026-17399: アップロード内容の検証が不十分で、サーバー上でコードが実行される（CVSS v3は9.9）
- CVE-2026-17402: OSコマンドインジェクションにより、基盤のホスト上でコマンドが実行される（CVSS v3は9.9）
CWEの分類は、CWE-22、CWE-78、CWE-89、CWE-90、CWE-94、CWE-184、CWE-287、CWE-434、CWE-918です。
IBMの告知は12.1系と10.0.8系の修正版ごとに2本あり、少なくとも30件のCVEが並んでいます。更新全体の件数はこれより多い可能性があります。CVSS v3の値は4.2から9.9まで幅があり、9.9の12件はその最上位です。
攻撃の流れ
-
1
到達
攻撃者がネットワーク経由でAPI Connectの管理系の機能に接続します。
-
2
ログイン
低い権限のアカウントで認証済みの状態になります。
-
3
不正な入力
アップロードやパラメーターなどに細工した内容を送り、製品に処理させます。
-
4
実行と越境
サーバー上でコードやコマンドが動き、ほかのテナントの領域にも手が届きます。
-
5
被害
設定の改ざん、情報の取得、管理操作の乗っ取りにつながります。
どう悪用されるか
9.9の12件はいずれも、ネットワーク越しに攻撃でき、IBMの説明では認証済みの攻撃者が前提です。CVE-2026-17147のベクターでは、攻撃の複雑さが低く、必要な権限も低く、利用者の操作は要りません。条件がCVEごとに大きく違うわけではなく、違いは悪用後に何が起きるかにあります。
悪用された場合の被害は、サーバーや基盤ホスト上でのコード実行、コマンド実行、ファイルの書き込み、データベースへの任意のSQL実行、権限昇格です。CVE-2026-17150とCVE-2026-17392は、ログインしたユーザー自身のテナントを越えて、ほかのテナントの情報や管理権限に及ぶと説明されています。
同じ更新の告知には、ログイン不要と書かれた脆弱性も含まれます。たとえばCVE-2026-17313（CVSS v3は9.8）は認証を迂回してゲートウェイの構成を操作でき、CVE-2026-16720（CVSS v3は9.8）は他のユーザーのアクセストークンを得られます。9.9の12件に絞らず、更新全体を適用する必要があります。
今すぐやること
-
1
運用中の版を洗い出す
本番、ステージング、開発の各環境で、API Connectの版を一覧にします。10.0.8系と12.1系が混在していないかも見ます。
-
2
修正版に更新する
12.1系と10.0.8系では修正版が別なので、系列ごとに更新します。本番に当てる前に、検証環境でAPIの公開と認証の動作を確認します。
-
3
管理系の到達範囲を絞る
管理画面や管理APIが、インターネットや広い社内ネットワークから届く状態になっていないかを確認し、必要な接続元だけに限ります。
-
4
ログイン可能なアカウントを棚卸しする
9.9の12件は認証済みであることが前提です。使われていないアカウント、外部の開発者やパートナーに発行したアカウント、権限が広すぎるアカウントを減らします。
-
5
更新前の期間のログを見直す
不審なモジュールや定義のアップロード、想定外の管理操作、他テナントへのアクセスがないかを調べます。更新後に不審な操作が見つかった場合は、認証情報の入れ替えも検討します。
-
6
IBMの告知を確認する
自社の版が対象かどうか、回避策や追加の情報がないかを、IBMのセキュリティ告知で確認します。
すぐ更新できないとき
修正版をすぐに当てられないときは、つなぎとして管理系の接続元を必要な範囲に限り、アップロードや定義の登録ができるアカウントを最小限にします。これは被害の可能性を下げる手段であり、脆弱性そのものは残ります。IBMが回避策を示しているかどうかは、IBMの告知で確認してください。
背景
API Connectは、社内外にAPIを公開するときの認証、利用制限、公開の管理を一手に担う製品です。複数の組織やチームをテナントとして分けて使えるため、管理側の権限を握られると、その配下のAPIや設定、機密情報にまとめて影響が及びます。今回、他テナントへの越境が説明されているものがあるのは、この構造のためです。
今回の12件は、パストラバーサル、コード生成、OSコマンド、SQL、LDAPの各インジェクションなど、入力の検証漏れが並びます。更新全体にはSSRFも多く含まれます。SSRFは、サーバーを踏み台にして内部のシステムに接続させる手口で、クラウド環境では内部の認証情報を取得するために使われることが知られています。API管理基盤は内部システムの手前に置かれることが多いため、この種の脆弱性は内部への入口になりやすい点に注意が必要です。
よくある質問
Q.ログインが必要なら、社内の人しか使わない環境では緊急度は低いですか。
Q.10.0.8系と12.1系の片方だけ更新すればよいですか。
この記事は、取得元の公開情報をもとに、人が監修しながらAIを活用して執筆しています。執筆と監修は佐々木 航が担い、公開したあとも人が内容を確認しています。誤りに気づいたときは直し、記事の末尾に訂正の行を残します。対応を決める前に、下の原文と参照先も確認してください。
影響パッケージ
| パッケージ | 影響を受ける版 → 修正版 | |
|---|---|---|
| IBMAPI Connect |
12.1.0.0 〜 12.1.1.2→ 記載なし 10.0.8.0 〜 10.0.8.12→ 記載なし |
記載なし 記載なし |
この記録には修正版の版が載っていません。修正版の有無と版は、本文か参照URLのベンダーの勧告で確かめてください。
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
IBM API Connect 10.0.8.0 through 10.0.8.12 and 12.1.0.0 through 12.1.1.2 could allow a remote authenticated attacker to execute arbitrary code and perform unauthorized administrative actions due to a path traversal vulnerability.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- patch psirt@us.ibm.com
- patch psirt@us.ibm.com
- web nvd.nist.gov
- web github.com