重要ポイント
- IBM Aspera Faspex 5.0.0〜5.0.19 に認可の不備(CVE-2026-123218)。CVSS 9.8(緊急)
- 細工したメッセージで認可を回避され、管理者権限を奪われるおそれがあります
- CISA が 2026年11月9日に悪用確認済みの脆弱性(KEV)カタログへ追加しました
- 修正版は 5.0.19 PL1(Linux)。IBM は回避策なしとしています
バージョンと対処(まずここを確認)
| 製品 | 影響を受けるバージョン | 修正版(これ以上にする) |
|---|---|---|
| IBM Aspera Faspex | 5.0.0〜5.0.19 | 5.0.19 PL1(Linux) |
対処: IBM の手順に沿って 5.0.19 PL1 に更新します(コンテナイメージの更新手順は IBM の公式情報を参照)。更新までの当面の措置として、Faspex の画面へのインターネットからのアクセスを VPN や IP アドレス制限で絞り、不要な外部アカウントを無効化してください。
確認: 更新後、faspex-core のコンテナイメージが 5.0.19(Fix Pack: 1)になっていることを確認します。
概要
IBM は2026年11月7日、ファイル転送製品 IBM Aspera Faspex の認可の不備(CVE-2026-123218)を公表しました。CISA は11月9日、この脆弱性の悪用を確認したとして KEV カタログに追加しています。インターネットに公開している Faspex がある場合は、早めの更新が必要です。
影響と対処
影響を受けるもの
| 製品 | バージョン |
|---|---|
| IBM Aspera Faspex | 5.0.0〜5.0.19 |
どんな問題か
認可が正しく確認されない不備(CWE-863)で、権限を持つ利用者が細工したメッセージを送ると認可を回避され、管理者権限を得られる可能性があります。攻撃の手順は公開情報に基づいても書きません。
対処方法
IBM が公表した 5.0.19 PL1(Linux)に更新します。IBM は回避策・緩和策を「なし」としているため、更新が基本です。CISA は米国の連邦機関に対し、11月12日を期限とした対応を求めています。
確認方法
管理画面または docker ps などで faspex-core のイメージを確認し、5.0.19(Fix Pack: 1)かどうかを見ます。Faspex をインターネットに公開しているかどうかも合わせて確認してください。
対応チェックリスト
- Faspex を使っているか、バージョンが 5.0.0〜5.0.19 かを確認する
- 5.0.19 PL1 に更新し、イメージの版を確認する
- 更新までは、公開範囲を VPN・IP 制限で絞る
- 管理者アカウントの不審な追加・操作がないか確認する
出典
- IBM Aspera Faspex の脆弱性に関するセキュリティ情報(IBM・2026年11月7日)
- CISA Adds Four Known Exploited Vulnerabilities to Catalog(CISA・2026年11月9日)
