目次（5）
CVE-2026-17408
IBM API Connect の 10.0.8 系と V12 で、OS コマンドの特殊文字の不適切な処理（CWE-78、OS コマンドインジェクション）により、リモートの攻撃者が任意のコードを実行できる恐れのある脆弱性（CVE-2026-17408）が公開されました。IBM の評価は CVSS v3.1 9.8（CRITICAL）。対象は 10.0.8.0〜10.0.8.12 と 12.1.0.0〜12.1.1.2 です。IBM は 10.0.8 系では 10.0.8.13、V12 では 12.1.1.3 への更新を案内しています（V12 側はこの件に限った記載は未確認）。
内容
NVD（2026-11-07 登録）の記述は、次のとおりです。
- IBM API Connect 10.0.8.0〜10.0.8.12 と 12.1.0.0〜12.1.1.2 では、OS コマンド内の特殊文字の不適切な無害化により、リモートの攻撃者が任意のコードを実行できる恐れがあります。
- 評価のベクターは
AV:N/AC:L/PR:N/UI:Nで、ネットワークから、事前の認証なし、利用者の操作なしで攻撃できる想定です。 - どの機能・接続口からコマンドに値が渡るかは、公開されていません。
実際の被害や攻撃の手順は公表されていません。本稿は公開情報を読んだだけで、再現はしていません。手順は載せません。
評価
| 指標 | 値 |
|---|---|
| CVSS v3.1（IBM の評価・NVD 上は Primary） | 9.8 AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
| CWE | CWE-78（OS コマンドインジェクション） |
| NVD 登録 | 2026-11-07（状態は「Awaiting Analysis」で、NVD 自身の評価は未実施） |
| EPSS（FIRST・11/7 時点） | 値なし（未算出） |
| CISA KEV | 掲載は確認できず（11/7 取得） |
認証が不要でネットワークから攻撃でき、評価も 9.0 以上のため、当サイトの基準で severity 案は critical とします。
影響を受ける版と対処
- 影響: API Connect 10.0.8.0〜10.0.8.12 と 12.1.0.0〜12.1.1.2（NVD の記載）。
- 対処（10.0.8 系）: IBM の 10.0.8 系向け情報（node/7295637）が 10.0.8.13 への更新を案内しています。
- 対処（V12）: 同じ IBM 情報（node/7295635）の他の件では 12.1.1.3 への更新が案内されています。この件も同じ扱いと読めますが、個別の記載は未確認です。
- 回避策・緩和策は、未確認です。
利用者が考えられること
- API Connect の版が 10.0.8.0〜10.0.8.12、または 12.1.0.0〜12.1.1.2 かを確認します。
- 該当する場合は、IBM のセキュリティ情報を確認のうえ、10.0.8.13 または 12.1.1.3 へ更新します。
- 更新までは、管理用・ゲートウェイの接続口を信頼できるネットワークに限ることを検討します（効果は未確認）。
- 身に覚えないファイルの作成やプロセスの起動がないか、ログを確認します。
未確認の点
- コマンドに値が渡る機能・接続口と成立条件。
- V12 についてこの件に限った修正版・回避策の記載。
- 悪用の有無、公開された攻撃コード（CISA KEV に掲載は確認できず）。
- NVD 自身の評価。
この記事について
- 執筆・編集
- World Security 編集部
- AI の利用
- 本記事は AI が NVD や IBM のセキュリティ情報などの公開情報をもとに作成しました。数値は取得時点（2026-11-07）のもので、未確認の点は本文に明記しています。
