IBM Aspera Faspex（大容量ファイルの転送・共有に使われる製品）の5.0.0〜5.0.19にある、認可を回避して管理者権限を得られる脆弱性の解説です。何が起きるのか・影響範囲・対応策を、攻撃の再現手順は伏せて防御目線でまとめます。
- CVE
- CVE-2026-123218（IBMのセキュリティ情報 7295921）
- 重大度
- CVSS v3.1 9.8（Critical。ベクターは AV:N/AC:L/PR:N/UI:N。IBMが付与）
- 種別
- 認可の不備（CWE-863）。細工したメッセージで認可を回避し、管理者権限を得る
- 前提条件
- 出所で記述が異なる。IBMとCVE：認可されたユーザー、IBMのCVSS：権限不要（PR:N）、KEV：認証済みユーザー
- 対象
- IBM Aspera Faspex 5.0.0から5.0.19まで
- 修正
- IBM Aspera Faspex 5.0.19 PL1（Linux）。回避策はなしとされる
- 公開日
- IBMの勧告・CVE：2026年11月7日
- 悪用状況
- CISA KEVに2026年11月9日追加（対応期限 11月12日）。IBMの勧告に悪用の記載なし
放置の危険度
管理者権限を得られると、Faspexで扱う転送済みのファイルや、共有の設定、利用者の管理に及びます。ファイル転送の製品は、取引先との機密データや大容量のデータを預かることが多く、影響は製品の中にとどまりません。CISAは今回のKEVで、通常の更新だけでなくフォレンジックの確認も求める区分にしています。
どんな脆弱性か
IBMの勧告とCVEの記録は、Faspex 5.0.0〜5.0.19で、細工したメッセージによってユーザーの認可を回避し、完全な管理者権限を得られると説明しています。認可の不備（CWE-863）に分類されます。メッセージの形や送り方は、勧告にも書かれておらず、当サイトも記載しません。
注意したいのは、前提条件の記述が出所で食い違うことです。当サイトはどちらかに寄せて断定せず、それぞれの出所を並べます。
IBM（勧告・CVSS）
- CVE記録の説明：認可されたユーザー（authorized user）が細工したメッセージで
- CVSSのベクター：権限不要（PR:N）、ユーザー操作不要
- 点数は9.8（Critical）
CISA（KEV）
- 説明：認証済みユーザー（authenticated user）が細工したメッセージで
- 認可を回避して権限昇格（privilege escalation）が起きる
- 点数は付けていない（KEVは点数を出さない）
「認可されたユーザー」と「権限不要」は、そのままでは両立しにくい書き方です。どちらが実態に近いかは、IBMの勧告からは分かりません。防御側は、ログインできる一般のアカウントがあれば管理者に至り得て、さらにアカウントなしでも到達できる可能性が否定できない、と最悪の側を前提に備えるのが堅実です。
影響範囲
| 項目 | 内容 |
|---|---|
| 製品 | IBM Aspera Faspex |
| 影響を受ける版 | 5.0.0から5.0.19まで |
| 修正 | 5.0.19 PL1（Linux）。faspex-coreのコンテナイメージの確認が案内されている |
| 回避策・緩和策 | IBMの勧告では「なし」 |
| 勧告に記載のない版 | 5.0.0より前の版系統など。使っている場合はIBMに確認する |
- 修正はコンテナイメージにパッチを当てる手順で案内されています（手順はIBMのドキュメントを参照）。
- 日本の販売代理店・保守ベンダー経由で使っている場合も、同じ版で判断し、提供元の案内を確認してください。
自分が対象か確かめる方法
Faspexの版を確認する
管理画面、またはデプロイしているコンテナイメージの版を確認します。5.0.0から5.0.19なら対象で、修正済みなら5.0.19のFix Pack 1です。本番・検証・開発が分かれている場合は、1つずつ確認します（資産棚卸しチェックリスト）。
外から到達できるかを確認する
Faspexの画面とAPIに、インターネットや取引先のネットワークから到達できるかを確認します。KEVに載った製品は、外部公開の有無が優先順位を決める最大の材料です。
管理者権限を持つ人を洗い出す
現在の管理者アカウントの一覧を控えます。更新後の点検で「想定外の管理者」を見つけるための基準になります。
今日やること
5.0.19 PL1へ更新する（最優先）
IBMの手順に従い、コンテナイメージを修正版にします。更新後に、faspex-coreのコンテナイメージが「5.0.19（1ce4b13、Fix Pack: 1）」であることを確かめます。KEVの対応期限は11月12日です。
更新できるまでの間は、到達できる範囲を絞る
IBMは回避策を示していません。当サイトの補足として、Faspexへ到達できる送信元を、必要な利用者と取引先のネットワークに絞ります。これは更新の代わりではなく、露出を減らすための暫定的な手当てです。
管理者アカウントと権限の変更を点検する
更新前の期間について、管理者アカウントの追加、一般アカウントの権限の昇格、パスワードやAPIキーの再発行を確認します。控えておいた管理者の一覧と照らし、想定外の管理者がいれば無効にします。
共有・転送の設定とログを確認する
想定外の共有リンク、受信者の追加、転送の設定変更、大量のダウンロードがないかを確認します。KEVがフォレンジックの確認を求める区分にしているため、更新で終わりにせず、侵害の痕跡を確かめてください。進め方は 脆弱性対応の実務手順 にまとめています。
疑わしい痕跡があれば資格情報を入れ替える
不審な管理者の操作が見つかったら、管理者のパスワード、APIキー、連携先のアカウントを入れ替え、関係する取引先にも知らせます。何も見つからなくても、確認した範囲と期間を記録に残します。
悪用状況
- CISAは2026年11月9日にKEVへ追加し、対応期限を11月12日としました（KEVの版 2026.11.09）。当サイトは、悪用の根拠をこのKEV追加としています。
- IBMの勧告には、悪用についての記載がありません。攻撃の規模・手口・攻撃者についての公開情報は、確認できませんでした。
- KEVの記録上、ランサムウェアでの利用は「Unknown（不明）」で、フォレンジックの確認は「Yes」です。
- CVEの記録に、CISAの評価（悪用あり・自動化可能・影響は全面的）が追記されています。
- NVDの状態は Undergoing Analysis（分析中）で、IBMが付けた9.8が載っています。
- Faspexは過去にもKEVに載っています。CVE-2022-47986（コード実行）が2023年2月21日に追加され、ランサムウェアでの利用は「Known」と記録されています。今回とは別の脆弱性です。
当サイトの視点：前提条件の食い違いは、後回しの理由にならない
「認証が要るなら、うちは大丈夫」と判断するのは危険です。理由は2つあります。
1つ目に、Faspexは取引先に使わせる前提の製品で、外部の利用者のアカウントが多いことがあります。ログインできる人が多いほど、認証が要る前提でも守りになりません。2つ目に、IBMのCVSSは権限不要としており、実際にどちらなのかは公開情報で確定できません。確定できない点は、安全側に倒して扱います。更新を最優先にして、更新後に管理者の変更を点検してください（認証と認可の違い）。
出典
- IBM — Security Bulletin: IBM Aspera Faspex has addressed a vulnerability that could allow authorization bypass（2026年11月7日公開。対象版・修正・回避策なし・CVSS 9.8）
- CVE.org — CVE-2026-123218（2026年11月7日公開。CISAの追記を含む）
- NVD — CVE-2026-123218（Undergoing Analysis。CWE-863）
- CISA KEV — Known Exploited Vulnerabilities Catalog（11月9日追加・期限11月12日。過去のFaspexのエントリも同カタログで確認）
最終確認：2026年11月10日。
次に読む
- 実務：脆弱性対応の実務手順 ／ 資産棚卸しチェックリスト
- 判断：CVSS・EPSS・KEVで優先順位を決める
- 認証と認可：認証と認可の違い
- 用語：CVSSとは