cve-ja
← 新着
CVE

権限を持つユーザーが細工したメッセージで、管理者権限を得られるおそれ。

不正な認可。対象は Aspera Faspex。

CVE-2026-123218EUVD-2026-118902GHSA-29M7-HW74-2GWC至急

一言・影響を受ける人・対策は AI（sonnet）が元の説明文から作成。版の番号などは元の文と機械で照合した。対応の前に元の告知を確かめてほしい。誤りに気づいたら運営者へ。

CVSS
9.8
Critical
CNA
悪用
確認済み（CISA KEV）
11/9 に追加
PoC
見つかっていない
11/12 時点
修正
修正版あり
5.0.19 PL1 以降
国内
まだ無い
同じ CVE 番号の記事を待っている
まずやること：Aspera Faspex を 5.0.19 PL1 以降に更新する
公開
2026年11月7日
最終更新
2026年11月10日
優先度の理由
悪用確認済み
最終確認
2026年11月12日
EPSS
0.53%
PoC
見つかっていない
攻撃の条件
ネット越し・ログイン不要・相手の操作は要らない
国内
まだ無い

概要

権限を持つユーザーが細工したメッセージで、管理者権限を得られるおそれ。

元の説明（英語）を読む

IBM Aspera Faspex 5.0.0 through 5.0.19 could allow an authorized user to craft a specific message to bypass user authorization and gain full administrative privileges.

影響を受ける人

Aspera Faspex 5.0.0〜5.0.19 を使う人

対策

  • Aspera Faspex を 5.0.19 PL1 以降に更新する

国内の動き

本文に同じ CVE 番号のある国内の注意喚起・報道は、まだ無い。

海外の動き

PoC

リンクだけを載せる。中身は確かめていない。

偽物やマルウェア入りが混じる（GitHub の PoC の 1.9〜10.3% に悪意の兆候があったという研究がある）。動かすのは、自分の検証用の環境で、中身を読んでからにする。他人のシステムに向けない。
foxcornlab/faspex-scanner↗★ 0 · 11/10 作成 · その他Detection-only triage for IBM Aspera Faspex CVE-2026-123218 (CVSS 9.8, CISA KEV): grades Faspex 5 installs against the 5.0.19 PL1 fix, catches the bare-5.0.19 trap.

経過

2026年11月7日・一次情報
脆弱性が公開された
2026年11月9日・悪用確認
CISA が KEV に追加（悪用を確認）（Bluesky で元の投稿に返信）

影響する版

IBM Aspera Faspex範囲は告知を確認