--- title: "IBM API Connect 10.0.8.0〜10.0.8.12・12.1.0.0〜12.1.1.2 で、OS コマンドの不適切な処理により認証なしで任意のコード実行に至る恐れ（CVE-2026-17408）" url: https://n-t-p.io/worldsecurity/articles/ibm-api-connect-os-command-injection-rce-cve-2026-17408 lang: ja kind: 速報 category: 脆弱性・CVE author: World Security 編集部 published: 2026年11月7日 updated: 2026年11月7日 severity: 緊急 cve: CVE-2026-17408 --- # IBM API Connect 10.0.8.0〜10.0.8.12・12.1.0.0〜12.1.1.2 で、OS コマンドの不適切な処理により認証なしで任意のコード実行に至る恐れ（CVE-2026-17408） > **TL;DR:** IBM API Connect 10.0.8.0〜10.0.8.12・12.1.0.0〜12.1.1.2 で、OS コマンドインジェクションにより、認証なしの攻撃者が任意のコードを実行できる恐れ（CVE-2026-17408・IBM 評価 CVSS v3.1 9.8）。10.0.8.13・12.1.1.3 へ更新を案内（V12 の個別記載は未確認）。 **要点** - NVD は 2026-11-07、IBM API Connect 10.0.8.0〜10.0.8.12 と 12.1.0.0〜12.1.1.2 の CVE-2026-17408 を登録。OS コマンドインジェクション（CWE-78）で、リモートの攻撃者が任意のコードを実行できる恐れ。 - 評価は IBM の CVSS v3.1 で 9.8（AV:N/AC:L/PR:N/UI:N）。認証も利用者の操作も不要。対象の機能・接続口は公開されていない。 - 認証不要で 9.0 以上のため severity 案は critical。EPSS は未算出、CISA KEV に掲載は確認できず。 - 10.0.8 系は 10.0.8.13、V12 は同じ IBM 情報の他の件で 12.1.1.3 への更新を案内。V12 の個別の修正・回避策は未確認。本稿は公開情報の読み取りで、再現はしていない。 **IBM API Connect** の 10.0.8 系と V12 で、**OS コマンドの特殊文字の不適切な処理**（CWE-78、OS コマンドインジェクション）により、リモートの攻撃者が**任意のコードを実行できる**恐れのある脆弱性（**CVE-2026-17408**）が公開されました。IBM の評価は CVSS v3.1 **9.8**（CRITICAL）。対象は **10.0.8.0〜10.0.8.12** と **12.1.0.0〜12.1.1.2** です。IBM は 10.0.8 系では **10.0.8.13**、V12 では **12.1.1.3** への更新を案内しています（V12 側はこの件に限った記載は未確認）。 ## 内容 NVD（2026-11-07 登録）の記述は、次のとおりです。 - IBM API Connect 10.0.8.0〜10.0.8.12 と 12.1.0.0〜12.1.1.2 では、**OS コマンド内の特殊文字の不適切な無害化**により、リモートの攻撃者が**任意のコードを実行**できる恐れがあります。 - 評価のベクターは `AV:N/AC:L/PR:N/UI:N` で、**ネットワークから、事前の認証なし、利用者の操作なし**で攻撃できる想定です。 - どの機能・接続口からコマンドに値が渡るかは、公開されていません。 実際の被害や攻撃の手順は公表されていません。本稿は公開情報を読んだだけで、再現はしていません。手順は載せません。 ## 評価 | 指標 | 値 | |---|---| | CVSS v3.1（IBM の評価・NVD 上は Primary） | **9.8** `AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H` | | CWE | CWE-78（OS コマンドインジェクション） | | NVD 登録 | 2026-11-07（状態は「Awaiting Analysis」で、NVD 自身の評価は未実施） | | EPSS（FIRST・11/7 時点） | 値なし（未算出） | | CISA KEV | 掲載は確認できず（11/7 取得） | 認証が不要でネットワークから攻撃でき、評価も 9.0 以上のため、当サイトの基準で severity 案は **critical** とします。 ## 影響を受ける版と対処 - 影響: **API Connect 10.0.8.0〜10.0.8.12** と **12.1.0.0〜12.1.1.2**（NVD の記載）。 - 対処（10.0.8 系）: IBM の 10.0.8 系向け情報（node/7295637）が **10.0.8.13 への更新**を案内しています。 - 対処（V12）: 同じ IBM 情報（node/7295635）の他の件では **12.1.1.3 への更新**が案内されています。この件も同じ扱いと読めますが、個別の記載は未確認です。 - 回避策・緩和策は、未確認です。 ## 利用者が考えられること 1. API Connect の版が 10.0.8.0〜10.0.8.12、または 12.1.0.0〜12.1.1.2 かを確認します。 2. 該当する場合は、IBM のセキュリティ情報を確認のうえ、10.0.8.13 または 12.1.1.3 へ更新します。 3. 更新までは、管理用・ゲートウェイの接続口を信頼できるネットワークに限ることを検討します（効果は未確認）。 4. 身に覚えないファイルの作成やプロセスの起動がないか、ログを確認します。 ## 未確認の点 - コマンドに値が渡る機能・接続口と成立条件。 - V12 についてこの件に限った修正版・回避策の記載。 - 悪用の有無、公開された攻撃コード（CISA KEV に掲載は確認できず）。 - NVD 自身の評価。 ## 出典 - [NVD CVE-2026-17408](https://nvd.nist.gov/vuln/detail/CVE-2026-17408) — NIST NVD - [IBM Security Bulletin: Multiple Vulnerabilities in IBM API Connect（V10.0.8・node/7295637）](https://www.ibm.com/support/pages/node/7295637) — IBM - [IBM Security Bulletin: Multiple Vulnerabilities in IBM API Connect（V12・node/7295635）](https://www.ibm.com/support/pages/node/7295635) — IBM - [FIRST EPSS（CVE-2026-17408・値なし）](https://api.first.org/data/v1/epss?cve=CVE-2026-17408) — FIRST - [CISA KEV カタログ（掲載は確認できず）](https://www.cisa.gov/known-exploited-vulnerabilities-catalog) — CISA --- 出典: World Security（株式会社NTP） https://n-t-p.io/worldsecurity/articles/ibm-api-connect-os-command-injection-rce-cve-2026-17408