IBM API Connectの更新で脆弱性30件超、修正版あり
IBM API Connectの10.0.8系と12.1系で、認証回避やコード実行を含む重大な脆弱性が多数修正されました。両系統の利用組織は、修正版への更新と、管理画面やゲートウェイの公開範囲の見直しに着手してください。
同じ発表の脆弱性 12 件
この記事でまとめた分です。発表元の告知には、ほかの脆弱性も載っていることがあります。
急ぎ度: 至急
認証が前提と書かれていない脆弱性を含むCVSS v3が9.6〜9.9の重大な脆弱性が12件あり、修正版も両系統で公開されているためです。
関係があるか
IBM API Connectの10.0.8系または12.1系を自社で運用している組織が対象です。マルチテナントで複数の部門や取引先にAPIポータルを提供している環境は、テナント間のデータ漏えいも考えられるため、とくに影響が大きくなります。
| 製品 | 影響を受ける版 | 修正版 |
|---|---|---|
| IBM API Connect 10.0.8系 | 10.0.8.0から10.0.8.12まで（この記事の12件のうち7件が該当） | 10.0.8.13 |
| IBM API Connect 12.1系 | 12.1.0.0から12.1.1.2まで（この記事の12件すべてが該当） | 12.1.1.3 |
確かめ方
- 1管理画面や構築時の記録で、稼働中のAPI Connectの版を確認します。10.0.8.12以前、または12.1.1.2以前なら該当します。
- 2開発・検証環境やDR用の環境にも、古い版が残っていないか確認します。
- 3IBMが運用を担う提供形態を使っている場合は、更新の扱いをIBMの告知で確認します。
何が起きたか
IBM API Connectの10.0.8系と12.1系に、認証と権限の確認の不備、サーバーからの意図しない通信、パスやOSコマンドの扱いの不備などが見つかりました。悪用されると、ほかのテナントのデータの閲覧や変更、管理権限の奪取、サーバー上でのコード実行に至るおそれがあります。この記事で取り上げる12件は、いずれもCVSS v3が9.6〜9.9です。
12件の内訳は次のとおりです。
- CVE-2026-17410: 認証済みの攻撃者が、ほかのテナントのポータルデータを閲覧・変更できる（CVSS v3 9.9）
- CVE-2026-17278: 呼び出し元の確認が不十分で、信頼された相手を装ってAPIカタログと実行時の設定データを取得できる。12.1系のみ（CVSS v3 9.8）
- CVE-2026-17301: 暗号署名の検証不備により、認証を回避できる（CVSS v3 9.8）
- CVE-2026-17313: 別経路による認証回避で、機密情報の取得とゲートウェイ設定の掌握ができる。12.1系のみ（CVSS v3 9.8）
- CVE-2026-17340: パストラバーサルにより、任意のコードを実行できる。12.1系のみ（CVSS v3 9.8）
- CVE-2026-17360: ハードコードされた認証情報により、管理者権限を完全に奪える。12.1系のみ（CVSS v3 9.8）
- CVE-2026-17408: OSコマンドの特殊文字の無害化が不適切で、任意のコードを実行できる（CVSS v3 9.8）
- CVE-2026-17296: 認証済みの攻撃者が、SSRFにより機密情報を取得できる（CVSS v3 9.6）
- CVE-2026-17297: オープンリダイレクトにより、ログイン結果が攻撃者の指定先に送られ、アカウントを乗っ取れる（CVSS v3 9.6）
- CVE-2026-17299: 認証済みの攻撃者が、外部参照の無制限な解決を悪用して任意のファイル読み取りとSSRFを行える（CVSS v3 9.6）
- CVE-2026-17353: 認証済みの攻撃者が、SSRFにより機密情報の取得とセキュリティ制限の回避を行える。12.1系のみ（CVSS v3 9.6）
- CVE-2026-17394: 認証済みの攻撃者が、アクセス関連の設定値を書き換えて機密情報を取得できる（CVSS v3 9.6）
IBMは更新を2本の告知に分けています。12.1.1.3の告知と10.0.8.13の告知です。この記事の12件はその一部にすぎず、告知本文に並ぶCVEだけでも30件以上あります。
たとえば、認証不要で管理操作が実行できるCVE-2026-17409(CVSS v3 9.4)、ほかのユーザーのアクセストークンを取得できるCVE-2026-16720（同9.8）、権限昇格につながるCVE-2026-17158（同9.9）、SSRFのCVE-2026-16918とCVE-2026-17131（いずれも同9.3）が含まれます。上の12件を直しただけでは足りないので、更新はひとまとめで適用してください。
攻撃の流れ
-
1
入口に到達
管理画面、開発者ポータル、ゲートウェイなど、ネットワークから届く機能に接続します。
-
2
認証の突破
認証の不備や固定の認証情報、低権限のアカウントを足がかりに、本来ない権限を得ます。
-
3
設定と情報の取得
ほかのテナントのデータや、APIカタログ、ゲートウェイ設定が読まれ、書き換えられます。
-
4
内部への波及
コード実行やSSRFにより、サーバー上の操作や内部ネットワークへの通信に発展します。
どう悪用されるか
悪用の条件は、CVEによって異なります。CVE-2026-17301は認証不要と明記され、CVE-2026-17313も認証なしで届く評価です。CVE-2026-17278、CVE-2026-17340、CVE-2026-17360、CVE-2026-17408、CVE-2026-17297は「リモートの攻撃者」とだけ書かれており、認証が前提とは書かれていません。
一方、CVE-2026-17410、CVE-2026-17296、CVE-2026-17299、CVE-2026-17353、CVE-2026-17394は、認証済みのユーザーであることが前提です。ただし、ポータルや開発者向けの登録を外部に開いている場合は、このアカウントを持つ側の範囲が広がります。12件はいずれもネットワーク経由で届くもので、手元の端末での操作を前提とするものではありません。
悪用された場合の被害は、管理権限の奪取、設定やテナントデータの閲覧と変更、サーバー上でのコード実行、内部ネットワークへの通信の踏み台化です。APIゲートウェイは社内システムへの入口なので、侵害が内部システムに波及する点を警戒してください。
今すぐやること
-
1
稼働中の版を洗い出す
本番だけでなく、検証・開発環境やDR用の環境も含めて、API Connectの版を確認します。10.0.8系と12.1系で、更新先が異なります。
-
2
修正版へ更新する
10.0.8系は10.0.8.13へ、12.1系は12.1.1.3へ更新します。更新は告知の手順に従って適用してください。
-
3
外部公開の範囲を絞る
管理画面、開発者ポータル、ゲートウェイの管理用エンドポイントが、インターネットから届く状態になっていないか確認します。業務上必要なものだけを公開し、ほかは社内ネットワークやVPNに限ります。
-
4
侵害の跡を調べる
更新の前後で、想定外の管理操作、見覚えのないアカウントや組織への参加、ゲートウェイ設定の変更、サーバーから内部へ向かう異常な通信がないか、ログで確認します。固定の認証情報やトークンの問題が含まれるため、疑わしい形跡があれば、管理者の認証情報やトークンの再発行も検討します。
-
5
IBMの告知で全件を確認する
12.1.1.3と10.0.8.13の2本の告知に、更新全体のCVE一覧と更新手順があります。この記事で取り上げたもの以外にも重大なものがあるため、一覧は告知で確認してください。IBMが運用を担う提供形態の扱いも、告知で確認できます。
すぐ更新できないとき
更新の適用まで時間がかかる場合は、つなぎとして管理画面、ポータル、ゲートウェイの管理用の入口へ届く範囲を、信頼できるネットワークに限ります。ただし、認証が前提でない脆弱性もあり、通常の公開経路は残るため、完全な回避策にはなりません。更新までの時間を短くすることが先決です。
背景
IBM API Connectは、APIの公開、利用者の認証、ゲートウェイでの流量制御、開発者ポータルでの提供までを担うAPI管理製品です。社内システムと外部のアプリや取引先の間に置かれ、鍵ストアやアクセストークン、ゲートウェイの設定といった、侵害されると影響の大きい情報を持っています。複数のテナントに分けて運用する構成も一般的です。
今回の更新で目立つのは、SSRFが何件も含まれていることです。ゲートウェイはもともと内部システムへ通信する役割があるため、サーバーから内部に向かう通信を制御できなくなると、内部ネットワークの情報が外部に渡りやすくなります。認証や権限の確認の不備、コード実行の脆弱性も同じ更新に含まれており、入口の防御から内部の分離まで、複数の層で修正が必要になっています。
よくある質問
Q.認証済みの攻撃者が前提のCVE-2026-17410は、優先度を下げてよいですか。
Q.10.0.8系と12.1系の両方を使っている場合、どちらを先に直すべきですか。
まだ分かっていないこと
- CVE-2026-17278、CVE-2026-17340、CVE-2026-17360、CVE-2026-17408、CVE-2026-17297のCVE上の説明には、認証の要否や利用者の操作の要否が書かれていません。
この記事は、取得元の公開情報をもとに、人が監修しながらAIを活用して執筆しています。執筆と監修は佐々木 航が担い、公開したあとも人が内容を確認しています。誤りに気づいたときは直し、記事の末尾に訂正の行を残します。対応を決める前に、下の原文と参照先も確認してください。
影響パッケージ
| パッケージ | 影響を受ける版 → 修正版 | |
|---|---|---|
| IBMAPI Connect |
12.1.0.0 〜 12.1.1.2→ 記載なし 10.0.8.0 〜 10.0.8.12→ 記載なし |
記載なし 記載なし |
この記録には修正版の版が載っていません。修正版の有無と版は、本文か参照URLのベンダーの勧告で確かめてください。
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
IBM API Connect 10.0.8.0 through 10.0.8.12 and 12.1.0.0 through 12.1.1.2 could allow a remote authenticated attacker to access and modify other tenants' portal data due to improper neutralization of argument delimiters.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web ibm.com
- web ibm.com
- web nvd.nist.gov
- web github.com