IBM Guardium Data Protection の edge-controller に認証が無く未認証RCE（CVSS 9.8）

Critical（CVSS 9.8）に分類されるIBM IBM Guardium Data Protection 12.1 / 12.2.2（edge-controller コンポーネント）の脆弱性です。データベースの監査・監視製品 IBM Guardium Data Protection の **edge-controller コンポーネントに認証が無く、未認証のリモート攻撃者が任意のコンテナイメージを実行し、管理下の Edge クラスタを乗っ取れる**欠陥（CWE-306）。IBM（CNA）が採番し、IBM のセキュリティ告知（2026年10月8日公開）と NVD の記述が一致する。 **対象**: NVD と IBM の告知では IBM Guardium Data Protection **12.1**（Guardium アプライアンス）と **12.2.2**（Edge コンポーネント）。 **評価値**: CVSS 3.1 は **9.8**（AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H）で、NVD の分析状況は Analyzed。2026年10月10日時点で CISA KEV には収載されておらず、IBM の告知にも悪用の記載は無い。 同じ告知では、IBM 自身の SQL インジェクション（CVE-2026-84209）・パストラバーサルによる任意ファイル削除（CVE-2026-82900）・OS コマンドインジェクション（CVE-2026-84057、いずれも CVSS 8.1）と、同梱の Jackson / Netty の脆弱性もまとめて修正されている。

**IBM のパッチを適用する。** 告知が案内するのは、Edge コンポーネント向けの **SqlGuard_12.0p15004_Edge** と、アプライアンス向けの **SqlGuard_12.0p147_FixPack**（いずれも IBM Fix Central から入手）。告知は回避策・緩和策を「なし」としている。 **影響を受けるかの確認**: Guardium の版が 12.1、または Edge コンポーネントを 12.2.2 で使っているかを確認する。Edge クラスタを使っていない構成でも、同じ告知の他の欠陥（CVSS 8.1 の3件）は同じパッチで直るので適用は行う。 **更新までのつなぎ**（公式の回避策ではなく一般的な措置）: edge-controller とアプライアンスの管理ポートに到達できる送信元を、Guardium の管理ネットワークだけに絞る。Edge クラスタ上に見覚えのないコンテナやジョブが無いかも確認する。

IBM IBM Guardium Data Protection 12.1 / 12.2.2（edge-controller コンポーネント） を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-84272）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。