IBM の脆弱性と対応
IBM 製品の重大・クリティカル脆弱性 13件を、CVSS 順に並べています。各 CVE の詳細ページに、AWS・GCP・Azure・Linux 別の対応と一次情報の出典があります。
IBM の掲載状況(数値は本ページのビルド時にデータから集計)
掲載 13件の内訳は Critical 13件 / High 0件。CVSS は最高 9.9、最低 9.8です。
このうち 1件は CISA KEV に収載され、実際の悪用が確認されています。先に着手すべきはこの 1件です。
掲載している IBM の CVE は 2026/07/08 〜 2026/07/28 に公開または KEV 収載されたものです。
対応が必要な環境の内訳は、Linux(OS 側の修正)が 13件です。掲載262件のうち、AWS・GCP・Azure で必要な対応が分かれるものはありません(対応内容はいずれもベンダー提供の更新の適用です)。環境の違いが出るのは主に Linux(OS 側の修正の有無)です。
対象になっている製品
- Langflow OSS 1.0.0 - 1.10.02件
- Langflow OSS 1.0.0-1.10.02件
- Langflow OSS 1.0.0-1.10.12件
- WebSphere Application Server (traditional)2件
- API Connect(10.0.8.0 から 10.0.8.9 まで、および 12.1.0.0 から 12.1.0.3 まで)1件
- Langflow OSS 1.0.0 〜 1.10.0(Langflow 1.9.2 以前)1件
- Langflow OSS 1.0.0〜1.9.61件
- Langflow OSS(1.0.0 以上 1.10.1 未満)1件
- WebSphere Application Server Liberty1件
必要な対応の内訳
区分は AWS・GCP・Azure 側の対応状況にもとづきます。各 CVE の修正バージョン・回避策は詳細ページに一次情報の出典付きで書いています。
先に着手すべきもの(KEV 収載 1件)
CVSS の数字の内訳を確かめる: IBM のアドバイザリに載っているスコアだけでは「ネットワーク越しか」「認証が要るか」までは分かりません。アドバイザリに載っているベクタ文字列(例
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H)を CVSSベクタ読み解きツール に貼ると、各項目の意味と基本値の計算過程を日本語で確認できます。IBM の脆弱性と対応13件
-
Critical CVSS 9.9Langflow で認証済みユーザーが DB 直接操作により superuser へ昇格し任意コマンドを実行できるAWSGCPAzureLinux
-
Critical CVSS 9.9IBM Langflow OSS ディスクキャッシュの安全でないデシリアライズによるRCEAWSGCPAzureLinux
-
Critical CVSS 9.9IBM Langflow OSS コード検証APIの exec() 実行による認証済みユーザーからのRCEAWSGCPAzureLinux
-
Critical CVSS 9.9IBM Langflow ToolGuard 経由のコード実行(allow_custom_components=false を迂回)AWSGCPAzureLinux
-
Critical CVSS 9.8IBM WebSphere Liberty の Collective Controller で任意コード実行AWSGCPAzureLinux
-
Critical CVSS 9.8IBM WebSphere Application Server の危険な逆シリアル化でRCEAWSGCPAzureLinux
-
Critical CVSS 9.8IBM WebSphere Application Server の認証バイパス(未認証要求)AWSGCPAzureLinux
-
Critical CVSS 9.8IBM Langflow の MCP エンドポイントで未認証の越境アクセス(CVSS 9.8・認可欠如)AWSGCPAzureLinux
-
Critical CVSS 9.8Langflow の auto_login エンドポイントが未認証で長期有効な superuser トークンを発行する認証不備AWSGCPAzureLinux
-
Critical CVSS 9.8IBM Langflow OSS 公開フロー実行エンドポイントの認証不要リモートコード実行AWSGCPAzureLinux
-
Critical CVSS 9.8IBM Langflow OSS ハードコードされた認証情報(1.10.1 も影響・1.10.2 で修正)AWSGCPAzureLinux
-
Critical CVSS 9.8 KEV 悪用確認IBM Langflow の未認証リモートコード実行(KEV 収載・是正期限 2026-08-07)AWSGCPAzureLinux
-
Critical CVSS 9.8IBM API Connect 認証不要のSQLインジェクション(パスワードリセット)AWSGCPAzureLinux