IBM API Connect 認証不要のSQLインジェクション（パスワードリセット）

Critical（CVSS 9.8）に分類されるIBM API Connect（10.0.8.0 から 10.0.8.9 まで、および 12.1.0.0 から 12.1.0.3 まで）の脆弱性です。IBM API Connect の**パスワードリセット機能**に、認証を必要としない SQL インジェクションがある。NVD の説明は「IBM API Connect 10.0.8.0 through 10.0.8.9 and 12.1.0.0 through 12.1.0.3 contains an unauthenticated SQL injection vulnerability in the password reset functionality.」の1文である。 **「unauthenticated（認証不要）」と「password reset（パスワードリセット）」が同時に出てくる点が、この脆弱性の性質を決めている。** パスワードリセット画面は、仕様上、ログインできない利用者が使う画面である。つまり認証の手前に置かれており、インターネットに面した API 管理基盤ではその画面だけが外から触れる、という構成になりやすい。攻撃者から見れば、認証を突破する必要がなく、最初から触れる場所に SQL インジェクションがあることになる。 CVSS は NVD の Primary 評価が **9.8 CRITICAL**（CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H）、Secondary 評価が 9.1 CRITICAL（可用性への影響を A:N とした評価）である。当サイトは NVD の Primary 値を採用して 9.8 と記載する。ベクタを読むと、ネットワーク越し（AV:N）・攻撃条件は単純（AC:L）・特権不要（PR:N）・利用者の操作不要（UI:N）で、機密性・完全性・可用性のすべてに高い影響（C:H/I:H/A:H）がある。緩和条件が1つも無い並びである。 影響範囲は NVD の版レンジで **10.0.8.0 以上 10.0.8.10 未満**、および **12.1.0.0 以上 12.1.1.0 未満**とされている。10.0.8 系と 12.1.0 系という離れた2系統が同時に対象になっている点に注意が要る。片方の系統だけを見て「うちは新しいから対象外」と判断すると取り残される。 NVD の vulnStatus は Analyzed（分析済み）で、公開日は 2026年7月8日である。2026年8月4日時点で CISA KEV には収載されておらず、ランサムウェアでの利用も確認されていない。ただし、KEV に無いことは「悪用されない」という意味ではなく、「現時点で悪用の確認が公表されていない」という意味にすぎない。認証不要で CVSS 9.8 という条件は、悪用が始まってから動くには重すぎる。

まず、自組織に IBM API Connect があるかを確認する。API Connect は API ゲートウェイと開発者ポータルをまとめた API 管理基盤で、**社内システムの前段に置かれていることが多い**。自社で「API 基盤」と呼んでいるものの実体が API Connect である、という状況はあり得るので、製品名だけで探さず、API 管理を担っているコンポーネントの実体を確認する。 次にバージョンを見る。NVD の版レンジは **10.0.8.0 以上 10.0.8.10 未満**、および **12.1.0.0 以上 12.1.1.0 未満**である。つまり 10.0.8.10 以降、または 12.1.1.0 以降であれば対象外になる。**10.0.8.9 は影響を受ける側**である点に注意すること。 恒久対応は、IBM のサポートページ（node/7278218 および node/7278909）に案内されている修正版へ更新することである。IBM は製品ごとに個別の APAR や iFix を出すことがあるので、自環境の構成に対応する手順をサポートページで確認する。 更新までの緩和策は、**パスワードリセット画面への到達経路を絞る**ことである。認証不要の脆弱性なので、パスワードポリシーの強化も多要素認証も対策にならない。攻撃対象は認証の手前にあるからである。見るべきは、開発者ポータルや管理コンソールがインターネットから直接届く構成になっていないか、届くなら WAF や前段のロードバランサでパスワードリセットの API エンドポイントへのアクセス元を限定できないか、という点である。 WAF による SQL インジェクションの汎用シグネチャも一定の効果はあるが、**これを恒久対応と数えてはいけない**。シグネチャは回避されうるうえ、正常なリクエストを落として業務を止める副作用もある。あくまで更新までの時間稼ぎと位置づける。 検知は、データベース側から入るほうが確実である。SQL インジェクションは Web のアクセスログだけを見ても、エンコードされたペイロードが正常なリクエストに紛れて判別しにくい。API Connect が使うデータベースのクエリログで、**パスワードリセットの処理から発行されるはずのないクエリ**（UNION を含むもの、情報スキーマへの参照、想定外のテーブルへのアクセス）が無いかを見る。あわせて、覚えのないアカウントの追加、既存アカウントのパスワードが本人の操作なく変わっていないか、管理者権限の付与履歴を確認する。 優先順は、**インターネットに面した API Connect** → **パートナー網など外部から到達できるもの** → **社内限定のもの** の順である。KEV には未収載だが、認証不要かつ CVSS 9.8 という条件は、収載を待って着手する理由にならない。

IBM API Connect（10.0.8.0 から 10.0.8.9 まで、および 12.1.0.0 から 12.1.0.3 まで） を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-9074）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。