IBM Aspera Faspex の認可欠陥 CVE-2026-123218、CISA が悪用を確認

要点

IBM は 2026-11-07 に、Aspera Faspex 5 の欠陥（CVE-2026-123218）を公表した。分類は「認可の誤り」である。認可とは、ログインした人に何を許すかを決める仕組みだ。

IBM の説明によると、認可を受けた利用者が特定のメッセージを作ることで、この確認をすり抜け、完全な管理者権限を得られる。

CISA は 2026-11-09 に、この欠陥を KEV に追加した。KEV は、実際に攻撃に使われていると CISA が確かめた欠陥の一覧である。米国の連邦機関には 2026-11-12 までの対応期限が付いた。ランサムウェア（身代金目的の攻撃）に使われたかどうかは「不明」とされている。

一方、IBM の情報には、悪用についての記述がない。誰が、どれほどの規模で悪用しているのかも、確かめられていない。

注意したいのは条件だ。IBM は「認可を受けた利用者」が前提だと書いている。ただし、IBM が付けた深刻度の評価（9.8）は、ログイン不要を意味する値になっている。説明と評価が食い違っており、実際にログインなしで当たるのかは、一次情報からは分からない。安全側に見て、早めに更新するのがよい。

日本での利用状況や被害については、IBM の情報にも KEV にも記載がなく、分からない。

ファイル転送の製品は、重要なデータが集まるため、攻撃者に狙われやすい。過去には MOVEit Transfer や、Aspera Faspex の旧版（4.x 系）でも、悪用された欠陥があった。

CISA は KEV への追加と合わせて、被害を受けた可能性を調べる「フォレンジック（証拠の保全と調査）」の手順を求めている。単に更新するだけでなく、すでに入られていないかを確かめる必要がある、ということだ。

技術者向けの詳細

記事は、運営者が生成 AI を活用して作成し、内容を確かめたうえで公開しています。誤りに気づいたら編集方針の連絡先へ。