IBM Aspera Faspex 5 で、細工したメッセージにより認可を回避され管理者権限を得られる恐れ（CVE-2026-123218・5.0.0〜5.0.19・5.0.19 PL1 で修正）

IBM のファイル転送製品 IBM Aspera Faspex 5 に、細工したメッセージで認可を回避され、完全な管理者権限を得られる恐れのある脆弱性（CVE-2026-123218）が公表されました。IBM は評価を CVSS v3.1 で 9.8（CRITICAL）としています。対象は 5.0.0〜5.0.19、修正は 5.0.19 PL1（Fix Pack 1） です。ただし、IBM の記述は「認可された（ログイン済みの）利用者が」となっている一方、評価の値は「認証不要（PR:N）」で、食い違っています。どちらが実態かは未確認です。

内容

IBM の勧告（2026-11-07 公開）と NVD の記述によると、問題は次のとおりです。

• Faspex 5 で、認可された利用者が特定のメッセージを細工して送ると、利用者ごとの認可の確認をすり抜けます（CWE-863：認可の誤り）。
• その結果、完全な管理者権限を得られる恐れがあります。
• 勧告の概要には「認証済みの利用者が…権限昇格を引き起こす」とあります。一方、IBM が付けた評価のベクターは PR:N（認証不要）です。この食い違いの理由は、公表資料に書かれていません。

攻撃の手順や成立条件は公表されておらず、本稿は公開情報を読んだだけで、再現はしていません。手順は載せません。

評価

指標	値
CVSS v3.1（IBM が付与・NVD 上は Primary）	9.8 AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CWE	CWE-863（認可の誤り）
IBM 勧告・NVD 登録	2026-11-07（NVD の状態は「Awaiting Analysis」で、NVD 自身の評価は未実施）
EPSS（FIRST・11/7 時点）	値なし（未算出）
CISA KEV	掲載なし（11/7 確認）

IBM の記述が「認可された利用者」であることから、当サイトの基準（認証不要かつ 9.0 以上は critical、ログインが要るものは critical にしない）に従い、severity 案は high とします。評価の値どおり認証不要と確認できれば critical に上げます。

影響を受ける版と修正

• 影響: IBM Aspera Faspex 5.0.0〜5.0.19。
• 修正: IBM Aspera Faspex 5.0.19 PL1（Linux）。IBM の手順に従って更新し、faspex-core のコンテナイメージが「5.0.19（1ce4b13、Fix Pack 1）」になっていることを確認するよう案内されています。
• 回避策・緩和策: IBM は「なし」と記載しています。

利用者が考えられること

1. Faspex 5 を使っているか、版を確認します（5.0.19 以前が対象）。
2. IBM の手順に従って 5.0.19 PL1 へ更新し、faspex-core のイメージが Fix Pack 1 であることを確かめます。
3. 回避策がないため、すぐ更新できないときは、利用者アカウントの棚卸し、不要なアカウントの停止、外部からのアクセス経路の制限を検討します。
4. 管理者権限の付与や設定変更に、覚えのない履歴がないかを管理画面のログで確認します。

未確認の点

• 攻撃に、ログインが必要か（IBM の記述）、不要か（評価の値）。
• 悪用の有無、公開された攻撃コード（CISA KEV に掲載なし）、攻撃が成立する具体的な条件。
• 5.0.19 より前の版すべてが同じ条件で影響を受けるか、利用規模、NVD 自身の評価。