目次（5）
CVE-2026-17362
IBM は 2026-11-07、API 管理製品 IBM API Connect の 12.1.0.0 から 12.1.1.2 に、認可の確認が欠けているため、リモートの攻撃者がテナントを作成・変更・削除できる恐れがある脆弱性（CVE-2026-17362）を公表しました。IBM の評価は CVSS v3.1 で 9.8（CRITICAL）で、認証・利用者の操作はいずれも不要（PR:N・UI:N）とされています。IBM は同じ勧告で、12.1.1.3 で複数の脆弱性に対処したと記載しています。ただし、この CVE の個別の修正版・悪用の有無は未確認です。
内容
NVD に登録された CVE の記述（2026-11-07 公開。登録元は IBM PSIRT）は次のとおりです。
- 対象: IBM API Connect 12.1.0.0 から 12.1.1.2。
- 内容: 認可の欠如（CWE-862）により、リモートの攻撃者がテナントを作成・変更・削除できる恐れがある。
どの API（どの経路）が対象かは、公開された記述には書かれていません。攻撃の手順や実際の被害は公表されていません。本稿は公開情報を読んだだけで、再現はしていません。手順は載せません。
評価
| 指標 | 値 |
|---|---|
| CVSS v3.1（IBM の評価・NVD 上は Secondary） | 9.8 AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
| CWE | CWE-862（認可の欠如） |
| NVD 登録 | 2026-11-07（状態は「Awaiting Analysis」で、NVD 自身の評価は未実施） |
| EPSS（FIRST・11/7 時点） | 値なし（未算出） |
| CISA KEV | 掲載は確認できず（11/7 取得） |
認証が不要でネットワークから攻撃でき、評価も 9.0 以上のため、当サイトの基準で severity 案は critical とします。
影響を受ける版と対処
- 影響: IBM API Connect 12.1.0.0〜12.1.1.2。
- 対処: IBM の勧告（node/7295635）の要約に「IBM API Connect v12.1.1.3 で複数の脆弱性に対処した」とあります。この CVE が 12.1.1.3 で直るかは、勧告の全文を最後まで確認できておらず、未確認です。回避策・緩和策の記載も確認できていません。
- この勧告には 100 件を超える CVE が含まれ、同じ製品の別の CVE（CVE-2026-17360・17301・17340・17408 など）も 9.8 前後と評価されています。
利用者が考えられること
- API Connect を使っているか、版を確認します（12.1.0.0〜12.1.1.2 が対象）。
- IBM の勧告を確認し、12.1.1.3 以降への更新を計画します。
- 更新まで、管理用の API・画面をインターネットに公開していないか見直します。
- テナントの作成・変更・削除に身に覚えのない記録がないか、監査ログを確認します。
未確認の点
- この CVE の個別の修正版（12.1.1.3 での修正かどうか）、回避策。
- 対象となる API・経路、成立条件、12.1.0.0 より前の版の影響。
- 悪用の有無、公開された攻撃コード（CISA KEV に掲載は確認できず）。
- NVD 自身の評価。
この記事について
- 執筆・編集
- World Security 編集部
- AI の利用
- 本記事は AI が NVD などの公開情報をもとに作成しました。数値は取得時点（2026-11-07）のもので、未確認の点は本文に明記しています。
