IBM「Aspera Faspex」に認可回避、悪用確認　深刻度9.8で回避策なし、自社は大丈夫か

　IBMは11月7日、「IBM Aspera Faspex 5」に認可の仕組みを回避できる脆弱性（CVE-2026-123218）があるとして、セキュリティ情報を公開した。共通脆弱性評価システム「CVSS」の基本スコアは、10点満点中9.8（IBM算出）。最も深刻な「緊急」に当たる水準だ。

　影響を受けるのは、バージョン5.0.0～5.0.19。IBMは修正版の「5.0.19 PL1」（Linux向け）への更新を「強く推奨する」としている。回避策は「なし」で、更新が唯一の対処になる。更新後は、faspex-coreコンテナーのイメージが5.0.19（Fix Pack 1）であることを確認するよう案内している。

　IBMの説明は、認可されたユーザーが特別なメッセージを作成すると、ユーザーの認可を回避して管理者権限をすべて得られるというもの。一方でCVSSのベクターは、ネットワーク経由で攻撃でき、攻撃条件が低く、必要な権限も操作もないという評価だ。説明は認可済みのユーザーを前提とした書きぶりで、スコアの前提とは食い違って見える。IBMの情報は、悪用の有無には触れていない。

　こうしたなか、米サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）は米国時間の11月9日、この脆弱性を「既知の悪用された脆弱性（KEV）カタログ」に追加したと発表した。悪用の証拠に基づく登録で、同日にはGPUStack、SignalWire FreeSwitch、OpenSSHの脆弱性も加わった。

　米CISAは、この種の脆弱性は攻撃者がよく使う手口で、連邦政府の組織に大きなリスクをもたらすと説明している。登録に伴う対応の義務は連邦機関が対象だが、米CISAはすべての組織に、KEV登録の脆弱性を優先して直すよう勧めている。

　どのような攻撃で悪用されたのか、被害がどこまで広がっているのかについて、IBMの情報と米CISAの発表のいずれにも記載はない。