这是一篇针对 IBM Aspera Faspex 5.0.0 至 5.0.19（用于发送和共享大文件的产品）中漏洞的解析：攻击者可绕过授权并获得管理员权限。本文以防御视角，说明发生什么、谁受影响以及如何应对，不涉及攻击步骤。
- CVE
- CVE-2026-123218（IBM 安全公告 7295921）
- 严重度
- CVSS v3.1 9.8（Critical；向量 AV:N/AC:L/PR:N/UI:N；由 IBM 给出）
- 类型
- 授权不当（CWE-863）。精心构造的消息绕过授权，获得管理员权限
- 前提条件
- 各来源描述不同。IBM 和 CVE 记录：已授权的用户。IBM 的 CVSS：无需权限（PR:N）。KEV：已认证的用户
- 受影响版本
- IBM Aspera Faspex 5.0.0 至 5.0.19
- 修复
- IBM Aspera Faspex 5.0.19 PL1（Linux）。没有列出临时办法
- 日期
- IBM 公告和 CVE：2026年11月7日
- 利用情况
- 2026年11月9日列入 CISA KEV（期限为11月12日）。IBM 的公告没有提及
放任不管的风险
获得管理员权限后，攻击者可以接触 Faspex 中保存的文件、共享设置和用户管理。文件传输产品里往往存放着与合作方交换的机密文件和超大数据，所以影响不会止于产品本身。CISA 对这一 KEV 条目标注需要取证分诊，而不只是常规打补丁。
这是什么样的漏洞
据 IBM 的公告和 CVE 记录，在 Faspex 5.0.0 至 5.0.19 中，精心构造的消息可以绕过用户授权，获得完整的管理员权限。它被归类为授权不当（CWE-863）。公告和本站都不描述消息的形式或发送方法。
值得注意的是，前提条件的描述并不一致。本站不认定哪一种，而是把各来源并排列出。
IBM（公告和 CVSS）
- CVE 记录的描述：已授权的用户构造消息
- CVSS 向量：无需权限（PR:N），无需用户交互
- 评分 9.8（Critical）
CISA（KEV）
- 描述：已认证的用户构造消息
- 授权被绕过，造成权限提升
- 没有评分（KEV 不公布评分）
「已授权的用户」与「无需权限」并不容易放在一起，IBM 的公告也没有说哪个更接近事实。防御方应按最坏情况来规划：普通的工作账户可能通向管理员，也不能排除完全没有账户就能到达的可能。
谁受影响
| 项目 | 内容 |
|---|---|
| 产品 | IBM Aspera Faspex |
| 受影响版本 | 5.0.0 至 5.0.19 |
| 修复 | 5.0.19 PL1（Linux）。IBM 要求确认 faspex-core 容器镜像 |
| 临时办法和缓解措施 | 据 IBM 的公告，没有 |
| 公告中未涉及的版本 | 5.0.0 之前的版本系列等；如果您在用，请向 IBM 询问 |
- 修复通过给容器镜像打补丁来提供（步骤请参阅 IBM 的文档）。
- 如果您通过经销商或维护供应商使用 Faspex，请按同样的版本判断，并遵循供应商的指引。
如何确认自己是否受影响
确认 Faspex 的版本
查看管理控制台，或已部署容器镜像的版本。5.0.0 至 5.0.19 受影响；已修复的部署为 5.0.19 Fix Pack 1。如果生产、预发布和开发是分开的，请逐一检查（资产清点清单）。
确认外部能否到达
确认 Faspex 的 Web 界面和 API 能否从互联网或合作方网络到达。对于列入 KEV 的产品，是否暴露在互联网是决定优先级的最大因素。
列出谁拥有管理员权限
记录当前的管理员账户。这将作为更新后检查中发现意外管理员的基准。
今天该做什么
更新到 5.0.19 PL1（最优先）
按 IBM 的步骤把容器镜像更新到修复版本。之后确认 faspex-core 镜像为 5.0.19（1ce4b13，Fix Pack: 1）。KEV 期限为11月12日。
在能更新之前，收窄可访问的对象
IBM 没有给出临时办法。作为本站的补充建议，把可访问 Faspex 的来源地址限制为需要使用的用户和合作方网络。这不能代替更新，只是暂时降低暴露面。
检查管理员账户和权限变更
针对更新之前的这段时间，查找新增的管理员、被提升到更高权限的普通账户，以及被重新签发的密码或 API 密钥。与您记录的管理员名单对比，并停用意外出现的账户。
检查共享和传输设置及日志
查找意外的共享链接、新增的接收者、被更改的传输设置和异常大量的下载。由于 KEV 对这一条目标注了取证分诊，不要止步于更新，还要检查是否有被入侵的迹象。流程可参考漏洞修复实务手册。
发现可疑情况时轮换凭据
如果发现可疑的管理员活动，请轮换管理员密码、API 密钥和已连接的账户，并告知相关的合作方。即使什么也没发现，也请记录检查了什么、检查了哪段期间。
利用情况
- CISA 于2026年11月9日把它列入 KEV，期限为11月12日（KEV 目录版本 2026.11.09）。本站以列入 KEV 作为已被利用的依据。
- IBM 的公告没有提到利用情况。规模、手法或行为者的公开信息无法确认。
- KEV 将勒索软件使用情况记为 Unknown，将取证分诊记为 Yes。
- CISA 的评估（exploitation active、automatable、total technical impact）已添加到 CVE 记录中。
- NVD 的状态为 Undergoing Analysis，并显示 IBM 给出的 9.8。
- Faspex 以前列入过 KEV：CVE-2022-47986（代码执行）于2023年2月21日列入，勒索软件使用情况记为 Known。那是另一个漏洞。
本站的观点：前提条件描述不一致，不是等待的理由
「如果需要认证，我们就没事」这样的推理有风险，原因有两点。
第一，Faspex 本来就是为合作方使用而设计的，外部账户往往很多；能登录的人越多，认证要求能保护的就越少。第二，IBM 的 CVSS 写的是无需权限，而公开信息无法判定哪种描述正确。对无法判定的事，请保守处理：先更新，再检查管理员变更（认证与授权的区别）。
信息来源
- IBM — Security Bulletin: IBM Aspera Faspex has addressed a vulnerability that could allow authorization bypass（2026年11月7日发布；受影响版本、修复、无临时办法、CVSS 9.8）
- CVE.org — CVE-2026-123218（2026年11月7日发布；含 CISA 的列入信息）
- NVD — CVE-2026-123218（Undergoing Analysis；CWE-863）
- CISA KEV — Known Exploited Vulnerabilities Catalog（11月9日列入，期限11月12日；Faspex 以前的条目也在同一目录中）
最后确认：2026年11月10日。
延伸阅读
- 实务：漏洞修复实务手册 / 资产清点清单
- 判断：用 CVSS、EPSS、KEV 确定优先级
- 认证与授权：认证与授权的区别
- 术语：什么是 CVSS？