IBM API Connect の OS コマンドインジェクションで未認証RCE（CVSS 9.8）

Critical（CVSS 9.8）に分類されるIBM IBM API Connect（10.0.8.0〜10.0.8.12 / 12.1.0.0〜12.1.1.2）の脆弱性です。**API 管理製品 IBM API Connect に、OS コマンドの特殊文字を無害化しない欠陥があり、リモートの攻撃者が任意のコードを実行できる。** CVSS 3.1 は IBM（CNA）の評価で **9.8 Critical**（AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H）で、認証も利用者の操作も不要とされている。 **影響を受ける版。** 10.0.8.0〜10.0.8.12 と 12.1.0.0〜12.1.1.2。IBM は2026年11月5日に 10.0.8 系と 12.1 系それぞれのセキュリティ情報（Multiple Vulnerabilities in IBM API Connect）を公開し、本件を含む100件を超える CVE をまとめて修正した。同じ情報には、ハードコードされた資格情報で管理者権限を取られる CVE-2026-17403（9.0）や、認証済み利用者による OS コマンドインジェクション CVE-2026-17402（9.9）なども含まれる。 **悪用状況。** NVD は2026年11月7日公開で Awaiting Analysis。CISA KEV には収載されておらず、悪用の報告は確認できていない。

**IBM の修正版へ上げる。** 10.0.8 系は **10.0.8.13**、12.1 系は **12.1.1.3**（IBM のセキュリティ情報で「今すぐ更新することを強く推奨」）。回避策は無い（Workarounds and Mitigations は None）。 **影響を受けるかの確認**は、API Connect の管理画面またはインストール済みのバージョンが 10.0.8.0〜10.0.8.12 / 12.1.0.0〜12.1.1.2 に入るかで判断する。同じ更新で CVE-2026-17403（ハードコードされた資格情報）など多数の Critical も塞がるので、個別に判断せずまとめて上げる。更新までは、API Connect の管理系エンドポイントがインターネットから到達できないことを確認する。

IBM IBM API Connect（10.0.8.0〜10.0.8.12 / 12.1.0.0〜12.1.1.2） を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-17408）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。