--- title: "IBM API Connect（10.0.8.0〜10.0.8.12・12.1.0.0〜12.1.1.2）、暗号署名の検証不備で認証なしの攻撃者が認証を回避できる恐れ（CVE-2026-17301・CVSS 9.8）。10.0.8.13・12.1.1.3 で更新を案内" url: https://n-t-p.io/worldsecurity/articles/ibm-api-connect-crypto-signature-bypass-cve-2026-17301 lang: ja kind: 速報 category: 脆弱性・CVE author: World Security 編集部 published: 2026年11月7日 updated: 2026年11月7日 severity: 緊急 cve: CVE-2026-17301 --- # IBM API Connect（10.0.8.0〜10.0.8.12・12.1.0.0〜12.1.1.2）、暗号署名の検証不備で認証なしの攻撃者が認証を回避できる恐れ（CVE-2026-17301・CVSS 9.8）。10.0.8.13・12.1.1.3 で更新を案内 > **TL;DR:** IBM API Connect の 10.0.8.0〜10.0.8.12・12.1.0.0〜12.1.1.2 は、暗号署名の検証が不適切で、認証なしの攻撃者が認証を回避できる恐れ（CVE-2026-17301・CVSS 9.8）。IBM は 10.0.8.13・12.1.1.3 への更新を強く推奨、緩和策なし。severity 案は critical。 **要点** - NVD は 2026-11-07、IBM API Connect の CVE-2026-17301 を登録。暗号署名の検証が不適切（CWE-347）で、認証されていない攻撃者が認証を回避できる恐れ。IBM 評価の CVSS v3.1 は 9.8（PR:N・UI:N）。 - 影響は 10.0.8.0〜10.0.8.12 と 12.1.0.0〜12.1.1.2。IBM は 2026-11-05 の勧告で 10.0.8.13・12.1.1.3 への更新を強く推奨。回避策・緩和策は「なし」。 - 認証不要で 9 以上のため severity 案は critical。KEV 掲載なし・EPSS 未算出。どの署名の検証が不適切かは公開情報に記載なし。 - 本稿は公開情報の読み取りで、再現はしていない。API Connect の管理画面・ゲートウェイを不要なネットワークから遮断し、早めに更新を計画する。 **IBM API Connect**（API の公開・管理基盤）の 10.0.8.0〜10.0.8.12 と 12.1.0.0〜12.1.1.2 に、暗号署名の検証が不適切なため、**認証されていない攻撃者が認証を回避できる恐れ**があります（**CVE-2026-17301**・CWE-347）。IBM 評価の CVSS v3.1 は **9.8**（PR:N・UI:N）で、当サイトの基準（認証不要かつ 9 以上）では **critical** 案です。IBM は 2026-11-05 の勧告で、10.0.8 系は **10.0.8.13**、12.1 系は **12.1.1.3** への更新を強く推奨しています。緩和策は「なし」とされています。KEV 掲載は確認できていません。 ## 内容 IBM の記述は「認証されていない攻撃者が、暗号署名の検証が不適切なため認証を回避できる」の 1 文だけです。どの署名（トークンや証明書など）が、どの機能で検証されていないのかは、NVD にも IBM の勧告にも書かれていません。攻撃の手順は本稿では扱いません。公開情報を読んだだけで、再現はしていません。 IBM は同じ 2 本の勧告（12.1 系と 10.0.8 系）で、API Connect の複数の脆弱性をまとめて修正しています。当サイトでは、同じ回の CVE-2026-17360（ハードコードされた認証情報）、17313（認証回避）、17340（パストラバーサル）、17408（OS コマンドインジェクション）を別記事で扱っています。本件はそれらとは別の CVE です。 ## 評価 | 指標 | 値 | |---|---| | CVSS v3.1 | **9.8** `AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H`（IBM 評価・NVD の Primary） | | CWE | CWE-347（暗号署名の不適切な検証） | | NVD | 2026-11-07 登録。状態は「Awaiting Analysis」で、NVD 自身の評価は未実施 | | EPSS | 未算出（FIRST の API は 11/7 時点で該当なし） | | CISA KEV | 掲載なし（11/7 確認） | 認証が要らず CVSS が 9 以上のため、severity 案は **critical** です。悪用の報告はまだ確認できていません。 ## 影響を受ける版と対処 | 系統 | 影響を受ける版 | IBM が案内する版 | |---|---|---| | API Connect V12（オンプレミス） | 12.1.0.0〜12.1.1.2 | **12.1.1.3** | | API Connect V10.0.8 | 10.0.8.0〜10.0.8.12 | **10.0.8.13** | - IBM の勧告に、回避策・緩和策は「なし」と書かれています。更新が唯一の対処です。 - IBM は「いますぐ更新することを強く推奨する」としています。 ## 利用者が確認すること 1. API Connect を使っているか、版が上の表の範囲かを確認します。 2. 範囲内なら、10.0.8.13 または 12.1.1.3 への更新を計画します。更新までの間は、管理画面や API ゲートウェイを不要なネットワークから届かないようにします（一般的な対策であり、IBM が示したものではありません）。 3. 認証の記録に身に覚えのないアクセスがないか見直します。 ## 未確認の点 - 署名の検証が不適切な箇所（どの機能・どの種類のトークンか）と、攻撃に必要な条件。 - 実際の悪用の有無と被害（KEV 掲載なし、EPSS 未算出）。 - NVD 自身の評価（現状は IBM の評価のみ）。 - IBM Cloud 版や、勧告に載っていない版の扱い。 ## 出典 - [NVD CVE-2026-17301](https://nvd.nist.gov/vuln/detail/CVE-2026-17301) — NIST NVD - [IBM セキュリティ速報（API Connect V12・12.1.1.3）](https://www.ibm.com/support/pages/node/7295635) — IBM - [IBM セキュリティ速報（API Connect V10.0.8・10.0.8.13）](https://www.ibm.com/support/pages/node/7295637) — IBM - [CISA KEV カタログ（掲載なしを確認）](https://www.cisa.gov/known-exploited-vulnerabilities-catalog) — CISA --- 出典: World Security（株式会社NTP） https://n-t-p.io/worldsecurity/articles/ibm-api-connect-crypto-signature-bypass-cve-2026-17301