情報取得日: 2026/11/07・本ページは公開情報の非公式まとめです
| CVE ID | CVE-2026-17403 |
|---|---|
| 製品 | IBM / IBM API Connect（10.0.8.0〜10.0.8.12 / 12.1.0.0〜12.1.1.2） |
| CVSS | 9.0（Critical） CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:H |
| 種別 (CWE) | CWE-798 ハードコードされた資格情報の使用 |
| 登録／公開日 | 2026/11/07 |
| 出典 | https://nvd.nist.gov/vuln/detail/CVE-2026-17403 |
**IBM API Connect に、製品内に埋め込まれた（ハードコードされた）資格情報があり、リモートの攻撃者が管理者権限を完全に奪える。** CVSS 3.1 は IBM（CNA）の評価で **9.0 Critical**（AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:H）。攻撃条件の難しさは High とされるが、認証も操作も不要。 **影響を受ける版。** 10.0.8.0〜10.0.8.12 と 12.1.0.0〜12.1.1.2。IBM が2026年11月5日に公開した API Connect のセキュリティ情報（10.0.8 系・12.1 系）に、未認証 RCE の CVE-2026-17408（9.8）などと一緒に含まれる。 **悪用状況。** NVD は2026年11月7日公開で Awaiting Analysis。CISA KEV には収載されておらず、悪用の報告は確認できていない。
各ベンダー公式アドバイザリで確認できた事実に基づき整理しています。確認できていない項目は「情報確認中」と明記し、存在しないパッチ番号・バージョンは記載しません。
| 環境 | 対応状況 | 対応方法・備考 |
|---|---|---|
| AWS (ECS/EC2) | パッチあり（アプリ更新） |
EC2 / EKS 上で IBM API Connect（オンプレミス版）を動かしている場合は、IBM の修正版へ上げる。10.0.8 系は 10.0.8.13、12.1 系は 12.1.1.3。回避策は無い（IBM のセキュリティ情報で Workarounds は None）。
AWS から本 CVE 個別の告知は確認できていない（2026-11-07 時点）。修正版の入手先は IBM Fix Central。
参照リンク
|
| GCP | パッチあり（アプリ更新） |
Compute Engine / GKE 上で IBM API Connect（オンプレミス版）を動かしている場合は、IBM の修正版へ上げる。10.0.8 系は 10.0.8.13、12.1 系は 12.1.1.3。回避策は無い（IBM のセキュリティ情報で Workarounds は None）。
Google Cloud から本 CVE 個別の告知は確認できていない（2026-11-07 時点）。修正版の入手先は IBM Fix Central。
参照リンク
|
| Azure | パッチあり（アプリ更新） |
Azure VM / AKS 上で IBM API Connect（オンプレミス版）を動かしている場合は、IBM の修正版へ上げる。10.0.8 系は 10.0.8.13、12.1 系は 12.1.1.3。回避策は無い（IBM のセキュリティ情報で Workarounds は None）。
Microsoft から本 CVE 個別の告知は確認できていない（2026-11-07 時点）。修正版の入手先は IBM Fix Central。
参照リンク
|
| Linux | 対象外 |
対象外（IBM の製品であり、Linux ディストリのパッケージではない）。製品自体を IBM の修正版へ更新する。
Ubuntu USN / Red Hat RHSA / Debian security tracker には載らない。
参照リンク
|
**IBM の修正版へ上げる。** 10.0.8 系は **10.0.8.13**、12.1 系は **12.1.1.3**。回避策は無い（IBM のセキュリティ情報で Workarounds and Mitigations は None）。ハードコードされた資格情報は設定変更では消せないので、更新が唯一の対処になる。 **あわせて行うこと。** 更新前に管理者権限を奪われていた可能性を考え、API Connect の管理者アカウント・プロバイダ組織・API 定義に身に覚えのない変更が無いかを監査ログで確認する。同じ更新で CVE-2026-17408（未認証 RCE）なども塞がる。
Critical（CVSS 9.0）に分類されるIBM IBM API Connect（10.0.8.0〜10.0.8.12 / 12.1.0.0〜12.1.1.2）の脆弱性です。**IBM API Connect に、製品内に埋め込まれた（ハードコードされた）資格情報があり、リモートの攻撃者が管理者権限を完全に奪える。** CVSS 3.1 は IBM（CNA）の評価で **9.0 Critical**（AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:H）。攻撃条件の難しさは High とされるが、認証も操作も不要。 **影響を受ける版。** 10.0.8.0〜10.0.8.12 と 12.1.0.0〜12.1.1.2。IBM が2026年11月5日に公開した API Connect のセキュリティ情報（10.0.8 系・12.1 系）に、未認証 RCE の CVE-2026-17408（9.8）などと一緒に含まれる。 **悪用状況。** NVD は2026年11月7日公開で Awaiting Analysis。CISA KEV には収載されておらず、悪用の報告は確認できていない。
**IBM の修正版へ上げる。** 10.0.8 系は **10.0.8.13**、12.1 系は **12.1.1.3**。回避策は無い（IBM のセキュリティ情報で Workarounds and Mitigations は None）。ハードコードされた資格情報は設定変更では消せないので、更新が唯一の対処になる。 **あわせて行うこと。** 更新前に管理者権限を奪われていた可能性を考え、API Connect の管理者アカウント・プロバイダ組織・API 定義に身に覚えのない変更が無いかを監査ログで確認する。同じ更新で CVE-2026-17408（未認証 RCE）なども塞がる。
IBM IBM API Connect（10.0.8.0〜10.0.8.12 / 12.1.0.0〜12.1.1.2） を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-17403）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。
本ページの記載は下記の一次情報に基づく非公式まとめです。数値・対応状況は各出典元で最終確認してください。