這是一篇針對 IBM Aspera Faspex 5.0.0 至 5.0.19（用於傳送和共享大檔案的產品）中漏洞的解析：攻擊者可繞過授權並獲得管理員權限。本文以防禦視角，說明發生什麼、誰受影響以及如何因應，不涉及攻擊步驟。
- CVE
- CVE-2026-123218（IBM 安全公告 7295921）
- 嚴重度
- CVSS v3.1 9.8（Critical；向量 AV:N/AC:L/PR:N/UI:N；由 IBM 給出）
- 類型
- 授權不當（CWE-863）。精心構造的訊息繞過授權，獲得管理員權限
- 前提條件
- 各來源描述不同。IBM 和 CVE 記錄：已授權的使用者。IBM 的 CVSS：無需權限（PR:N）。KEV：已認證的使用者
- 受影響版本
- IBM Aspera Faspex 5.0.0 至 5.0.19
- 修復
- IBM Aspera Faspex 5.0.19 PL1（Linux）。沒有列出臨時辦法
- 日期
- IBM 公告和 CVE：2026年11月7日
- 利用情況
- 2026年11月9日列入 CISA KEV（期限為11月12日）。IBM 的公告沒有提及
放任不管的風險
獲得管理員權限後，攻擊者可以接觸 Faspex 中儲存的檔案、共享設定和使用者管理。檔案傳輸產品裡往往存放著與合作方交換的機密檔案和超大資料，所以影響不會止於產品本身。CISA 對這一 KEV 條目標註需要鑑識分診，而不只是常規打補丁。
這是什麼樣的漏洞
據 IBM 的公告和 CVE 記錄，在 Faspex 5.0.0 至 5.0.19 中，精心構造的訊息可以繞過使用者授權，獲得完整的管理員權限。它被歸類為授權不當（CWE-863）。公告和本站都不描述訊息的形式或傳送方法。
值得注意的是，前提條件的描述並不一致。本站不認定哪一種，而是把各來源並排列出。
IBM（公告和 CVSS）
- CVE 記錄的描述：已授權的使用者構造訊息
- CVSS 向量：無需權限（PR:N），無需使用者互動
- 評分 9.8（Critical）
CISA（KEV）
- 描述：已認證的使用者構造訊息
- 授權被繞過，造成權限提升
- 沒有評分（KEV 不公布評分）
「已授權的使用者」與「無需權限」並不容易放在一起，IBM 的公告也沒有說哪個更接近事實。防禦方應按最壞情況來規劃：普通的工作帳戶可能通向管理員，也不能排除完全沒有帳戶就能到達的可能。
誰受影響
| 專案 | 內容 |
|---|---|
| 產品 | IBM Aspera Faspex |
| 受影響版本 | 5.0.0 至 5.0.19 |
| 修復 | 5.0.19 PL1（Linux）。IBM 要求確認 faspex-core 容器映像檔 |
| 臨時辦法和緩解措施 | 據 IBM 的公告，沒有 |
| 公告中未涉及的版本 | 5.0.0 之前的版本系列等；如果您在用，請向 IBM 詢問 |
- 修復透過給容器映像檔打補丁來提供（步驟請參閱 IBM 的文件）。
- 如果您透過經銷商或維護供應商使用 Faspex，請按同樣的版本判斷，並遵循供應商的指引。
如何確認自己是否受影響
確認 Faspex 的版本
查看管理控制檯，或已部署容器映像檔的版本。5.0.0 至 5.0.19 受影響；已修復的部署為 5.0.19 Fix Pack 1。如果生產、預發布和開發是分開的，請逐一檢查（資產清點清單）。
確認外部能否到達
確認 Faspex 的 Web 介面和 API 能否從網際網路或合作方網路到達。對於列入 KEV 的產品，是否暴露在網際網路是決定優先順序的最大因素。
列出誰擁有管理員權限
記錄當前的管理員帳戶。這將作為更新後檢查中發現意外管理員的基準。
今天該做什麼
更新到 5.0.19 PL1（最優先）
按 IBM 的步驟把容器映像檔更新到修復版本。之後確認 faspex-core 映像檔為 5.0.19（1ce4b13，Fix Pack: 1）。KEV 期限為11月12日。
在能更新之前，收窄可存取的對象
IBM 沒有給出臨時辦法。作為本站的補充建議，把可存取 Faspex 的來源地址限制為需要使用的使用者和合作方網路。這不能代替更新，只是暫時降低暴露面。
檢查管理員帳戶和權限變更
針對更新之前的這段時間，查詢新增的管理員、被提升到更高權限的普通帳戶，以及被重新簽發的密碼或 API 金鑰。與您記錄的管理員名單對比，並停用意外出現的帳戶。
檢查共享和傳輸設定及日誌
查詢意外的共享連結、新增的接收者、被更改的傳輸設定和異常大量的下載。由於 KEV 對這一條目標註了鑑識分診，不要止步於更新，還要檢查是否有被入侵的跡象。流程可參考漏洞修復實務手冊。
發現可疑情況時輪換憑證
如果發現可疑的管理員活動，請輪換管理員密碼、API 金鑰和已連線的帳戶，並告知相關的合作方。即使什麼也沒發現，也請記錄檢查了什麼、檢查了哪段期間。
利用情況
- CISA 於2026年11月9日把它列入 KEV，期限為11月12日（KEV 目錄版本 2026.11.09）。本站以列入 KEV 作為已被利用的依據。
- IBM 的公告沒有提到利用情況。規模、手法或行為者的公開資訊無法確認。
- KEV 將勒索軟體使用情況記為 Unknown，將鑑識分診記為 Yes。
- CISA 的評估（exploitation active、automatable、total technical impact）已新增到 CVE 記錄中。
- NVD 的狀態為 Undergoing Analysis，並顯示 IBM 給出的 9.8。
- Faspex 以前列入過 KEV：CVE-2022-47986（程式碼執行）於2023年2月21日列入，勒索軟體使用情況記為 Known。那是另一個漏洞。
本站的觀點：前提條件描述不一致，不是等待的理由
「如果需要認證，我們就沒事」這樣的推理有風險，原因有兩點。
第一，Faspex 本來就是為合作方使用而設計的，外部帳戶往往很多；能登入的人越多，認證要求能保護的就越少。第二，IBM 的 CVSS 寫的是無需權限，而公開資訊無法判定哪種描述正確。對無法判定的事，請保守處理：先更新，再檢查管理員變更（認證與授權的區別）。
資訊來源
- IBM — Security Bulletin: IBM Aspera Faspex has addressed a vulnerability that could allow authorization bypass（2026年11月7日發布；受影響版本、修復、無臨時辦法、CVSS 9.8）
- CVE.org — CVE-2026-123218（2026年11月7日發布；含 CISA 的列入資訊）
- NVD — CVE-2026-123218（Undergoing Analysis；CWE-863）
- CISA KEV — Known Exploited Vulnerabilities Catalog（11月9日列入，期限11月12日；Faspex 以前的條目也在同一目錄中）
最後確認：2026年11月10日。
延伸閱讀
- 實務：漏洞修復實務手冊 / 資產清點清單
- 判斷：用 CVSS、EPSS、KEV 確定優先順序
- 認證與授權：認證與授權的區別
- 術語：什麼是 CVSS？