---
title: "IBM Aspera FaspexにCVSS 9.8の認可回避、管理者権限まで一直線だった。CISAの実悪用入りで、連邦機関の期限は11月12日"
description: "IBMは2026年11月7日、Aspera Faspex 5.0.0〜5.0.19に、特定のメッセージで認可を回避して管理者権限を得られる脆弱性（CVE-2026-123218、CVSS 9.8）を公表し、修正版5.0.19 PL1を出した。米CISAは11月9日に実悪用カタログ（KEV）へ追加し、連邦機関の対応期限を11月12日とした。回避策は無く、更新とコンテナイメージの確認が対処の全てになる"
url: https://itpostjp.com/security/ibm-aspera-faspex-cve-2026-123218-admin-bypass-kev-deadline-nov-12/
category: "セキュリティ"
published_at: 2026-11-11T08:44:00Z
updated_at: 2026-11-11T08:44:00Z
author: "IT Post編集部"
editor: "編集長 千田智也"
publisher: "IT Post by Rice Studio Lab"
language: ja-JP
ai_generated: true
ai_model: muse-wonder
terms: ["CVE（共通脆弱性識別子）", "アクセス制御", "権限昇格"]
---

# IBM Aspera FaspexにCVSS 9.8の認可回避、管理者権限まで一直線だった。CISAの実悪用入りで、連邦機関の期限は11月12日

IT Post編集部 ＆ 編集長 千田智也

IBMは2026年11月7日、Aspera Faspex 5.0.0〜5.0.19に、特定のメッセージで認可を回避して管理者権限を得られる脆弱性（CVE-2026-123218、CVSS 9.8）を公表し、修正版5.0.19 PL1を出した。米CISAは11月9日に実悪用カタログ（KEV）へ追加し、連邦機関の対応期限を11月12日とした。回避策は無く、更新とコンテナイメージの確認が対処の全てになる

## 30秒で分かる結論

- IBMは2026年11月7日、大容量ファイル転送製品「IBM Aspera Faspex」のセキュリティ情報を公開しました。バージョン5.0.0から5.0.19に、認可を回避して製品の管理者権限を得られる脆弱性（CVE-2026-123218）があり、IBMの評価では深刻度はCVSS 9.8（Critical）です。細工したメッセージを送ることで悪用できる、とされています。
- 修正は、Linux向けの「5.0.19 PL1」への更新です。適用後は、faspex-coreコンテナイメージが「5.0.19（1ce4b13、Fix Pack: 1）」と表示されることを確認するよう、IBMは求めています。回避策や緩和策は「なし」と明記されています。
- 米サイバーセキュリティ・インフラセキュリティ庁（CISA）は11月9日、この脆弱性を「実際に悪用が確認された脆弱性」のカタログ（KEV）へ追加しました。米連邦機関向けの対応期限は11月12日で、フォレンジック・トリアージ（侵害の有無の切り分け）も必要とされています。ランサムウェアへの利用は「不明」とされています。

## まず初めに

ファイル転送の金庫室に、伝言メモ1枚で管理者室へ通される裏口があった。しかもIBMの説明文と深刻度の計算式で、裏口の前で必要な身分証の有無が食い違っている。文章では「認証済みの利用者」、計算式の前提条件（PR:N）は「権限不要」。どっちが本当でも、管理者としては最悪の想定で動くしかない。金庫の鍵の話で、解釈の余地は贅沢品である。

※個人の感想です

## 何が起きたのか

IBMは2026年11月7日に初版を公開したセキュリティ情報で、IBM Aspera Faspex 5.0.19 PL1が、認可回避の脆弱性へ対処したことを明らかにしました。同社によると、対象製品の利用者が特定のメッセージを細工することで、利用者認可を回避し、製品の管理者権限を全面的に得られる可能性がある、ということです。

脆弱性の分類は、認可の不備を示すCWE-863です。IBMが採点者となったCVSSの基本値は9.8で、ベクトルは「CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H」と公表されています。ネットワークから到達でき、攻撃の複雑さは低く、機密性・完全性・可用性への影響はいずれも高い、という評価です。

ここで読み手が引っかかる食い違いがあります。IBMの説明文は「認証済みの利用者（an authenticated user／an authorized user）」が細工したメッセージを送る、という書き方です。一方でCVSSベクトルの「PR:N」は「権限は不要」という前提を表します。どちらが実際の前提に近いかは、公開情報だけでは確定できません。したがって運用現場では、より厳しい側、つまり「低い権限のアカウント、あるいは条件次第では認証なしでも届き得る」という前提で棚卸しをするのが安全です。外部に開放された利用者アカウントやゲスト相当のアカウントが残っていないか、という確認も同じ理由で必要になります。

![IBMの発表内容（Aspera Faspexの認可回避と修正版）](/images/articles/ibm-aspera-faspex-cve-2026-123218-admin-bypass-kev-deadline-nov-12-inline-1.webp)

## 対象と修正の確認方法

対象は、IBM Aspera Faspexの5.0.0から5.0.19までの全ての5系リリースです。IBMが強く推奨する対処は、Linux向けの修正版「5.0.19 PL1」への更新であり、手順の先で、faspex-coreコンテナイメージが「5.0.19」で、ビルド識別子「1ce4b13」、Fix Pack「1」と表示されることを検証するよう求めています。バージョン番号だけ見て「5.0.19だから大丈夫」とは言えないのが、この製品の注意点です。修正前の最終版も5.0.19を名乗るため、Fix Packの表示まで含めて確認する必要があります。

| 項目 | 内容 |
|---|---|
| 脆弱性 | CVE-2026-123218（CWE-863、認可の不備） |
| IBMの評価 | CVSS 9.8（Critical） |
| 対象 | IBM Aspera Faspex 5.0.0〜5.0.19 |
| 修正 | 5.0.19 PL1（Linux）。faspex-coreイメージの表示で検証 |
| 回避策 | なし（IBMの公表） |
| 実悪用 | 米CISAがKEVへ追加（2026年11月9日）。連邦機関の期限は11月12日 |

回避策や緩和策について、IBMは「None（なし）」と明記しています。つまり、設定変更で時間を稼ぐ手札は無く、更新そのものが対処です。更新できない環境では、製品の利用停止やネットワークからの切り離しを含めた判断が、CISAの案内でも選択肢として示されています。

## CISAの実悪用入りが意味すること

CISAは2026年11月9日、この脆弱性をKEVカタログへ追加しました。KEVへの掲載は、CISAが実際の悪用の証拠を持っていることを意味します。もっとも、カタログの項目は、誰が、どの組織を、どの程度攻撃したかまでは明らかにしません。IBMのセキュリティ情報自体も、悪用の有無には触れていません。「攻撃の詳細は不明だが、使われたことは分かっている」というのが、公開情報から言える正確な線です。

同じ11月9日には、FreeSWITCHやGPUStack、OpenSSHの脆弱性もKEVへ追加され、いずれも期限は11月12日とされました。本誌でも、OpenSSHの musl 環境向け問題（[OpenSSHの脆弱性を解説した記事](https://itpostjp.com/security/openssh-sshole-cve-2026-123158-musl-password-bypass-alpine/)）などを取り上げています。11月12日という期限は米連邦機関向けのものですが、悪用が始まっている製品については、日本の組織にとっても優先順位の目安にはなります。あわせてCISAは、この件ではフォレンジック・トリアージが必要だとしています。パッチを当てる前に、管理者アカウントの不審な追加や、設定変更の痕跡を確認しておく、という意味です。権限昇格の穴は、当てて終わりではなく「既に管理者を取られていないか」の確認とセットで扱うのが定石です。

## IT Postの見方

IT Postでは、この件で一番厄介なのは、深刻度9.8という数字よりも、「修正済みかどうかがバージョン番号だけでは判別できない」点だと考えます。5.0.19のままFix Pack表示を確認する、という一手間を飛ばすと、棚卸しの表では「対応済み」、実機では「穴あき」のまま残る。監査の表と実機の食い違いほど、後から効いてくる事故はありません。ファイル転送基盤は、置かれているデータの性質上、侵入の到達点として旨みが大きい製品でもあります。だからこそ、更新の完了条件を「イメージの表示文字列まで一致すること」と定義して、証跡を残す運用が要ると考えます。

## 今後どうなりそうか

期限の11月12日を過ぎると、未対応の導入先は、攻撃者側のスキャン対象として残り続けることになります。IBMからは攻撃手法の詳細は出ていませんが、KEV掲載済みという事実だけで、悪用の試行は増えるのが通例です。導入先では、更新の実施、管理者アカウントと外部公開アカウントの棚卸し、トリアージの記録、という3点をひとまとめに進めるのが現実的です。

## 情報源

「一次情報」は資料の出所を示す区分で、編集部による独立した実測や、すべての主張の実証を示すものではありません。確認の範囲や未確認の点は、本文の説明と併せてご覧ください。

- [Security Bulletin: IBM Aspera Faspex has addressed a vulnerability that could allow authorization bypass](https://www.ibm.com/support/pages/security-bulletin-ibm-aspera-faspex-has-addressed-vulnerability-could-allow-authorization-bypass) — IBM（一次情報）
- [Known Exploited Vulnerabilities Catalog: CVE-2026-123218 IBM Aspera Faspex Vulnerability](https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-123218) — 米サイバーセキュリティ・インフラセキュリティ庁（CISA）（一次情報）
- [IBM Aspera Faspex・FreeSWITCHの重大脆弱性2件がサイバー攻撃に悪用 CISAがKEV登録、CVSS 9.8の認可回避・コマンド実行に緊急対応](https://rocket-boys.co.jp/security-measures-lab/ibm-aspera-faspex-freeswitch-cisa-kev-cve-2026-123218/) — セキュリティ対策Lab（株式会社ロックトボーイズ）

## この記事に出てくるIT用語

- [CVE（共通脆弱性識別子）](https://itpostjp.com/terms/cve-common-vulnerabilities-and-exposures/): 世界中で見つかったソフトウェアの脆弱性一つひとつに割り振られる、共通の番号のことです。
- [アクセス制御](https://itpostjp.com/terms/access-control/): 誰が、どの情報や機能にアクセスできるかを、権限に応じて制限する仕組みです。
- [権限昇格](https://itpostjp.com/terms/privilege-escalation/): 本来与えられていたよりも高い操作権限を、不正な手段で獲得することです。

---

この記事は、公開情報と出典URLの検証、文章作成の一部に生成AIを使用しています。内容の責任はIT Post by Rice Studio Labが負います。

出典表記: IT Post by Rice Studio Lab — https://itpostjp.com/security/ibm-aspera-faspex-cve-2026-123218-admin-bypass-kev-deadline-nov-12/