• ひとことでIBM Aspera Faspex で、ログインした利用者が管理者の権限を得られる弱点です。
  • 深刻度9.8 緊急CVSS v3.1
  • まずやること使っている Aspera Faspex の版を確かめる

何をすればいいかを詳しく読む

基本情報（データから表示）

CVE番号CVE-2026-123218
製品IBM Aspera Faspex
深刻度（CVSS）9.8 緊急CVSS v3.1
NVD に登録された、他の機関（開発元など）による評価
詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
KEVへの追加日2026-11-09
米国政府機関の対応期限2026-11-12
ランサムウェアでの悪用不明（確認されていない）
弱点の種類（CWE）CWE-863（誤った認可）

何が起きた

ファイルを大量に送り合うための IBM のソフトウェア Aspera Faspex に、権限の確かめ方を誤る弱点が見つかり、アメリカの CISA が実際に悪用されていることを確認しています。IBM によると、ログインしている利用者が、特別に作ったメッセージを送ることで権限の確認をすり抜け、管理者のすべての権限を手に入れられるおそれがあります。NVD の攻撃の条件では、ネットワーク越しに、権限がなくても攻撃できるとされていて、ログインしている利用者という IBM の説明とは食い違っています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

攻撃の流れ: 1. 攻撃者がログインした利用者として接続する → 2. 特別に作ったメッセージを送る → 3. 権限の確認をすり抜ける → 4. 管理者のすべての権限を手に入れる1攻撃者がログインした利用者として接続する2特別に作ったメッセージを送る3権限の確認をすり抜ける4管理者のすべての権限を手に入れる攻撃の流れ: 1. 攻撃者がログインした利用者として接続する → 2. 特別に作ったメッセージを送る → 3. 権限の確認をすり抜ける → 4. 管理者のすべての権限を手に入れる1攻撃者がログインした利用者として接続する2特別に作ったメッセージを送る3権限の確認をすり抜ける4管理者のすべての権限を手に入れる攻撃の流れ: 1. 攻撃者がログインした利用者として接続する → 2. 特別に作ったメッセージを送る → 3. 権限の確認をすり抜ける → 4. 管理者のすべての権限を手に入れる1攻撃者がログインした利用者として接続する2特別に作ったメッセージを送る3権限の確認をすり抜ける4管理者のすべての権限を手に入れる

誰が影響を受ける

IBM Aspera Faspex を使っている組織が対象です。IBM によると、影響を受けるのは Aspera Faspex 5 の 5.0.0 から 5.0.19 までで、修正版は Linux 向けの 5.0.19 PL1 です。

何をすればいい

IBM の公式の案内を確認し、修正版の 5.0.19 PL1（Fix Pack 1）を当ててください。IBM は更新を強く勧めており、回避策は示していません。IBM によると、更新後は faspex-core のコンテナイメージが「5.0.19 (1ce4b13, Fix Pack: 1)」になっていることを確かめます。CISA はアメリカの連邦政府機関に、侵入の跡を調べる手順（Forensics Triage Requirements）にも沿うよう求めています。

やることチェックリスト

  • 使っている Aspera Faspex の版を確かめる
  • 5.0.19 PL1（Fix Pack 1）を当てる
  • faspex-core のイメージが Fix Pack 1 になったか確かめる

用語メモ

権限 用語集で見る
そのアカウントに許された操作の範囲のことです。管理者の権限があると、設定の変更など、ほぼすべての操作ができます。
コンテナイメージ
ソフトウェアと、その動作に必要なものをひとまとめにした型です。これを元にソフトウェアを動かします。
Forensics Triage Requirements
CISA がアメリカの連邦政府機関向けに示している、侵入された跡がないかを調べるための要件です。

次に読む

同じ製品・メーカーの脆弱性IBM Aspera Faspex（CVE-2022-47986）9.8 緊急CVSS v3.1IBM Aspera Faspex で、古い API を悪用されてプログラムを実行される弱点です。基本の解説KEV とはCISAが悪用を確認した脆弱性の一覧。載る条件

最新の脆弱性の一覧に戻る ・ これまでの記事をすべて見る

公式情報と元データ

公式情報

元データ（英語・CISA KEV より）を開く

IBM Aspera Faspex Incorrect Authorization Vulnerability

概要

IBM Aspera Faspex contains an incorrect authorization vulnerability that could allow an authenticated user to craft a specific message to bypass authorization, causing privilege escalations.

推奨対応

Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.

この元データの出どころ: CISA KEV カタログで見る