本文へ移動
English version →
ログイン 新規登録
JA EN FR
SecPulse
重大 9.6 急ぎ度: 至急

IBM API Connectの更新、重大な脆弱性を多数修正

IBM API Connectの10.0.8系と12.1系で、認証なしで悪用できるものを含むCVSS 9.0以上の脆弱性10件が公表されました。API基盤を運用する組織は修正版へ更新し、公開範囲と侵害の跡も確認してください。

CVE-2026-17396 公開 更新 執筆・監修: 佐々木 航 人が監修しながらAIを活用して執筆

同じ発表の脆弱性 11 件

この記事でまとめた分です。発表元の告知には、ほかの脆弱性も載っていることがあります。

記事のイメージ(生成 AI による画像)
画像は生成 AI で作成したイメージです

急ぎ度: 至急

10件すべてがCVSS v3で9.0以上で、認証なしで届くものを含み、どちらの系統にも修正版が出ています。

関係があるか

IBM API Connectを自社で運用している組織が対象です。外部のアプリやパートナーに向けてAPIを公開している環境は、とくに影響を受けやすい構成です。

製品影響を受ける版修正版
IBM API Connect 12.1系 12.1.0.0から12.1.1.2まで。10件すべてが該当します。 12.1.1.3
IBM API Connect 10.0.8系 10.0.8.0から10.0.8.12まで。10件のうち、CVE-2026-17396、CVE-2026-17409、CVE-2026-18836、CVE-2026-17292、CVE-2026-17403の5件が該当します。 10.0.8.13

確かめ方

  1. 1導入記録や運用手順書で、稼働中のAPI Connectの版を確認します。10.0.8系なら10.0.8.12以下、12.1系なら12.1.1.2以下が対象です。
  2. 2開発・検証・本番など、複数の環境に分けて入れている場合は、環境ごとに版を確認します。
  3. 3IBMが運用するサービス型で利用している場合の扱いは、IBMの告知で確認します。

何が起きたか

IBM API Connectの10.0.8系と12.1系に、重大な脆弱性が10件公表されました。内容は、SQLインジェクション、アクセス制御の不備、サーバーサイドリクエストフォージェリ（SSRF）、パストラバーサル、ハードコードされた認証情報の使用などです。悪用されると、情報の流出、管理操作の実行、他の組織やテナントのリソースへの侵入などにつながります。

  • CVE-2026-17396: SQLインジェクションにより、認証済みの攻撃者が機微情報を取得できる（CWE-89、CVSS v3は9.6）
  • CVE-2026-17409: 大文字小文字の扱いの不備でアクセス制御が一部の要求に効かず、制限された管理操作の実行と情報の取得につながる（CWE-178、CVSS v3は9.4）
  • CVE-2026-18838: 要求に含まれる本人情報の検証が不十分で、別のユーザーになりすまして情報の取得とAPI構成の変更ができる（CWE-290、CVSS v3は9.4）
  • CVE-2026-17329: エンドポイントURLの検証の不備により、機微情報を取得できる（CWE-918、CVSS v3は9.3）
  • CVE-2026-17344: 認証なしで到達できるサービスから意図しない宛先へ要求を送らせ、情報を取得できる（CWE-918、CVSS v3は9.3）
  • CVE-2026-18836: SSRFにより、意図しない宛先への要求の応答が攻撃者に返り、情報を取得できる（CWE-918、CVSS v3は9.3）
  • CVE-2026-17292: 組織オブジェクトの認可チェックが不完全で、認証済みの攻撃者が他の組織の所有権を奪える（CWE-639、CVSS v3は9.1）
  • CVE-2026-17338: オブジェクト単位の認可の不備により、認証済みの攻撃者が情報を取得できる（CWE-639、CVSS v3は9.1）
  • CVE-2026-17339: パストラバーサルにより、認証済みの攻撃者が他のテナントのリソースにアクセスし、削除もできる（CWE-22、CVSS v3は9.1）
  • CVE-2026-17403: ハードコードされた認証情報により、完全な管理者権限を奪われる（CWE-798、CVSS v3は9.0）

IBMの告知は、この10件のほかにも多数の修正を含んでいます。12.1.1.3向けと10.0.8.13向けの2件の告知に並ぶ脆弱性は、本文が途中で切れた状態でも少なくとも30件にのぼり、深刻度の高い認証バイパスや認証不備も含まれます。今回の更新は、10件にとどまらない大きな修正です。

攻撃の流れ

  1. 1

    到達

    ネットワーク経由でAPI Connectの管理系やゲートウェイの機能に接続します。

  2. 2

    検証の不備を突く

    認可・認証・URL・入力の検証が不十分な箇所に、細工した要求を送ります。

  3. 3

    権限や情報の取得

    機微情報の取得、他ユーザーへのなりすまし、管理操作の実行が成立します。

  4. 4

    別の組織や内部へ波及

    他の組織やテナントのリソース、内部ネットワークの機器にまで影響が広がります。

公開されている情報をもとにした流れの例です。

どう悪用されるか

悪用の条件は、CVEごとに異なります。いずれもネットワーク経由で悪用でき、説明に利用者の操作が必要という条件は書かれていません。

認証なしで悪用できると説明にあるのは、CVE-2026-17409とCVE-2026-17344です。CVE-2026-18838、CVE-2026-17329、CVE-2026-18836、CVE-2026-17403は、説明が認証済みの攻撃者に限っていないため、認証なしで届く可能性を想定して扱うのが安全です。CVE-2026-17396、CVE-2026-17292、CVE-2026-17338、CVE-2026-17339は、認証済みのアカウントが前提です。ただし、正規の利用者や開発者のアカウントを持つ者が悪用できるため、認証が必要だからといって安心はできません。

被害は、機微情報の流出、管理操作の実行、API構成の書き換え、他の組織の所有権の奪取、他のテナントのリソースの閲覧や削除、SSRFによる内部ネットワークへの到達などです。CVE-2026-17403では、完全な管理者権限を奪われます。

今すぐやること

  1. 1

    稼働中の版を洗い出す

    10.0.8系か12.1系か、対象の版かを環境ごとに確認します。旧版や検証用の環境が残っていないかも見ておきます。

  2. 2

    修正版へ更新する

    12.1系は12.1.1.3、10.0.8系は10.0.8.13へ更新します。インターネットに公開している環境、パートナーに開放している環境を先にします。

  3. 3

    更新後に侵害の跡を調べる

    更新前に認証なしで届く脆弱性が悪用されていた可能性を考え、管理操作の履歴、組織の所有者の変更、APIキーの削除、不審な外部・内部向けの通信を確認します。

  4. 4

    認証情報の再発行を検討する

    情報が漏れた可能性がある環境では、管理者の認証情報、APIキー、トークンを再発行するか検討します。

  5. 5

    告知の全件を確認する

    IBMの2件の告知には、今回の10件以外の脆弱性も多数載っています。自社の構成に関係するものがないかを確認し、悪用の状況や回避策の記載もあわせて見ます。

すぐ更新できないとき

更新までのつなぎとして、管理系の画面やAPIに入れる接続元をVPNや社内ネットワークなど必要な範囲に絞り、API Connectから社内へ出ていく通信も最小限にします。ただし、これは暫定の軽減策で、脆弱性そのものは直りません。ゲートウェイを公開する構成では接続元を絞れないことが多く、更新を最優先にします。

背景

IBM API Connectは、APIの作成、公開、利用者の管理をまとめて担う製品です。社外のアプリやパートナーからの要求を受け、社内のシステムへ中継する位置にあるため、ここが破られると、認証・認可の判断や、APIを通じて見える内部のデータがまとめて危険にさらされます。今回の10件には、組織やテナントを区切る仕組みの不備が複数含まれており、複数の部門や取引先で共用している環境ほど影響が広がります。

今回は、サーバーが意図しない宛先へ要求を送ってしまうSSRFが3件あります。API基盤は内部システムへ到達できる経路を持つため、SSRFが外部から踏み台に使われると、本来は外から見えない内部の機器や情報にまで届く恐れがあります。ほかにも、オブジェクト単位の認可の不備が2件、ハードコードされた認証情報が1件あります。

よくある質問

Q.インターネットに公開していない社内専用の環境でも急ぐべきですか。
A.認証済みアカウントが前提の脆弱性は、社内の利用者や委託先、パートナーのアカウントがある環境で悪用されます。社内専用でも、アカウントを持つ人の範囲が広いなら、早めに更新するほうが安全です。ただし、インターネットに公開している環境よりは優先度を下げて構いません。
Q.対象の範囲より古い版を使っています。どうすればよいですか。
A.IBMの2件の告知に載っている影響範囲は、10.0.8.0から10.0.8.12まで、12.1.0.0から12.1.1.2までです。それより古い版が影響を受けるかは、IBMの告知で確認してください。いずれにせよ、サポートされている版へ上げる計画を立てます。

この記事は、取得元の公開情報をもとに、人が監修しながらAIを活用して執筆しています。執筆と監修は佐々木 航が担い、公開したあとも人が内容を確認しています。誤りに気づいたときは直し、記事の末尾に訂正の行を残します。対応を決める前に、下の原文と参照先も確認してください。

影響パッケージ

パッケージ影響を受ける版 → 修正版
IBMAPI Connect
12.1.0.0 〜 12.1.1.2→ 記載なし
10.0.8.0 〜 10.0.8.12→ 記載なし

この記録には修正版の版が載っていません。修正版の有無と版は、本文か参照URLのベンダーの勧告で確かめてください。

原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。

IBM API Connect 10.0.8.0 through 10.0.8.12 and 12.1.0.0 through 12.1.1.2 could allow a remote authenticated attacker to obtain sensitive information due to SQL injection.

出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory

参照URL

当サイトでは、アクセス解析と広告の効果測定のために Cookie を使います。株式会社Game のサイト共通の設定です。 詳しく