目次（5）
CVE-2026-17301
IBM API Connect（API の公開・管理基盤）の 10.0.8.0〜10.0.8.12 と 12.1.0.0〜12.1.1.2 に、暗号署名の検証が不適切なため、認証されていない攻撃者が認証を回避できる恐れがあります（CVE-2026-17301・CWE-347）。IBM 評価の CVSS v3.1 は 9.8（PR:N・UI:N）で、当サイトの基準（認証不要かつ 9 以上）では critical 案です。IBM は 2026-11-05 の勧告で、10.0.8 系は 10.0.8.13、12.1 系は 12.1.1.3 への更新を強く推奨しています。緩和策は「なし」とされています。KEV 掲載は確認できていません。
内容
IBM の記述は「認証されていない攻撃者が、暗号署名の検証が不適切なため認証を回避できる」の 1 文だけです。どの署名（トークンや証明書など）が、どの機能で検証されていないのかは、NVD にも IBM の勧告にも書かれていません。攻撃の手順は本稿では扱いません。公開情報を読んだだけで、再現はしていません。
IBM は同じ 2 本の勧告（12.1 系と 10.0.8 系）で、API Connect の複数の脆弱性をまとめて修正しています。当サイトでは、同じ回の CVE-2026-17360（ハードコードされた認証情報）、17313（認証回避）、17340（パストラバーサル）、17408（OS コマンドインジェクション）を別記事で扱っています。本件はそれらとは別の CVE です。
評価
| 指標 | 値 |
|---|---|
| CVSS v3.1 | 9.8 AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H（IBM 評価・NVD の Primary） |
| CWE | CWE-347（暗号署名の不適切な検証） |
| NVD | 2026-11-07 登録。状態は「Awaiting Analysis」で、NVD 自身の評価は未実施 |
| EPSS | 未算出（FIRST の API は 11/7 時点で該当なし） |
| CISA KEV | 掲載なし（11/7 確認） |
認証が要らず CVSS が 9 以上のため、severity 案は critical です。悪用の報告はまだ確認できていません。
影響を受ける版と対処
| 系統 | 影響を受ける版 | IBM が案内する版 |
|---|---|---|
| API Connect V12（オンプレミス） | 12.1.0.0〜12.1.1.2 | 12.1.1.3 |
| API Connect V10.0.8 | 10.0.8.0〜10.0.8.12 | 10.0.8.13 |
- IBM の勧告に、回避策・緩和策は「なし」と書かれています。更新が唯一の対処です。
- IBM は「いますぐ更新することを強く推奨する」としています。
利用者が確認すること
- API Connect を使っているか、版が上の表の範囲かを確認します。
- 範囲内なら、10.0.8.13 または 12.1.1.3 への更新を計画します。更新までの間は、管理画面や API ゲートウェイを不要なネットワークから届かないようにします（一般的な対策であり、IBM が示したものではありません）。
- 認証の記録に身に覚えのないアクセスがないか見直します。
未確認の点
- 署名の検証が不適切な箇所（どの機能・どの種類のトークンか）と、攻撃に必要な条件。
- 実際の悪用の有無と被害（KEV 掲載なし、EPSS 未算出）。
- NVD 自身の評価（現状は IBM の評価のみ）。
- IBM Cloud 版や、勧告に載っていない版の扱い。
この記事について
- 執筆・編集
- World Security 編集部
- AI の利用
- 本記事は AI が NVD や提供元の公開情報をもとに作成しました。数値は取得時点（2026-11-07）のもので、未確認の点は本文に明記しています。
