CVE-2026-123218

⚠️ CVE-2026-123218 (9.8) ⚠️ IBM Aspera Faspex, the file transfer server, lets any logged-in user give themselves full admin rights. Versions 5.0.0 through 5.0.19 are affected. No fixed version is named yet. https://t.co/Ypu2JFaNuT

【11/7 夕方】CVE・脆弱性ニュースまとめ ■国内 新たに対象となるものはありませんでした ■海外 ① IBM「IBM API Connect」：CVSS 9.9を含む多数の脆弱性を修正、12.1.1.3へ更新を（CVE-2026-17360ほか、CVSS v3.1 9.9） IBMが11月7日にAPI Connectの多数の脆弱性をまとめたセキュリティ情報を公表しました。昼以降に確認できた公表分だけでも208件にのぼり、うちCVSS 9.0以上が47件、9.9が20件です。ハードコードされた認証情報で管理者権限を奪われる問題（CVE-2026-17360、CVSS 9.8）や、パストラバーサルで任意のコードを実行される問題（CVE-2026-17239、CVSS 9.9）、認証なしでテナントを作成・変更・削除される問題（CVE-2026-17362、CVSS 9.8）などが含まれます。対象は12.1.0.0から12.1.1.2までで、修正版は12.1.1.3です。CVE記録では10.0.8.0から10.0.8.12までも対象とされています。現時点で実際の悪用の報告は確認できていません。 出典：CVE記録 https://www.cve.org/CVERecord?id=CVE-2026-17360 出典：IBM https://www.ibm.com/support/pages/node/7295635 ② payever「payever – WooCommerce Gateway」：ログインなしでファイルをアップロードされ、コードを実行されうる脆弱性、4.9.0で修正（CVE-2026-93754、CVSS v3.1 9.8） WooCommerceの決済プラグイン「payever – WooCommerce Gateway」に、ログインしていない攻撃者が任意のファイルをアップロードできる脆弱性が公表されました。認証や権限の確認がないAPIの処理で、ファイルの種類を確認する前に外部から取得したファイルを公開領域へ書き込んでしまうため、PHPファイルを実行させてサイトを乗っ取られるおそれがあります。対象は4.8.0までで、修正版は4.9.0です。現時点で実際の悪用の報告は確認できていませんが、決済に使っているサイトは更新を急いでください。 出典：CVE記録 https://www.cve.org/CVERecord?id=CVE-2026-93754 出典：Wordfence https://www.wordfence.com/threat-intel/vulnerabilities/id/03412063-d73a-4c5c-8dc6-3e76a5d975a5 ③ Printcart「Printcart Store – Web to Print Product Designer for WooCommerce」：ログインなしでファイルをアップロードされ、コードを実行されうる脆弱性、2.13.3で修正（CVE-2026-19803、CVSS v3.1 9.8） WooCommerceの商品カスタマイズ用プラグイン「Printcart Store」に、ログインしていない攻撃者が任意のファイルをアップロードできる脆弱性が公表されました。デザインの切り抜き処理で、利用者が指定したURLを正規化せずにパスへ組み込んでしまうため、公開領域の外にPHPファイルを書き込まれ、実行されるおそれがあります。対象は2.13.2までで、修正版は2.13.3です。ただし、高度なアップロード画面の設定を有効にしている場合に限ります。現時点で実際の悪用の報告は確認できていませんが、該当する設定のサイトは更新を急いでください。 出典：CVE記録 https://www.cve.org/CVERecord?id=CVE-2026-19803 出典：Wordfence https://www.wordfence.com/threat-intel/vulnerabilities/id/2525ed97-b701-4f95-8d8c-202e816723c5 ④ IBM「IBM Aspera Faspex」：認可をすり抜けて管理者権限を奪われうる脆弱性、5.0.19 PL1で修正（CVE-2026-123218、CVSS v3.1 9.8） ファイル転送サービス「IBM Aspera Faspex」に、認可をすり抜けて管理者権限を奪われる脆弱性が11月7日に公表されました。認証済みの利用者が細工したメッセージを送ることで、利用者の認可を回避して管理者権限を得られてしまうおそれがあります。対象は5.0.0から5.0.19までで、修正版は5.0.19 PL1です。回避策はなく、IBMは速やかな更新を求めています。現時点で実際の悪用の報告は確認できていません。 出典：CVE記録 https://www.cve.org/CVERecord?id=CVE-2026-123218 出典：IBM https://www.ibm.com/support/pages/node/7295921 ■注意点 ・IBM API ConnectはCVSS 9.0以上の脆弱性を47件含む大規模な一括公表です。12.1.1.3への更新を行ってください。 ・payeverとPrintcartは、ログインなしでコードを実行されうる重大な問題です。WooCommerceで使っている場合は、修正版への更新を急いでください。 ・IBM Aspera Faspexは管理者権限を奪われうる問題で、回避策はありません。5.0.19 PL1への更新を行ってください。 #脆弱性 #CVE #サイバーセキュリティ

🚨 IBM Aspera Faspex CVE-2026-123218: authenticated user can craft a message to bypass authorization and gain full admin. Affects 5.0.0–5.0.19; fix 5.0.19 PL1. CVSS 3.1:9.8 (PR:N vs auth). https://www.ibm.com/support/pages/node/7295921 #Aspera #IBM

🆕 New CVE: CVE-2026-123218 (CVSS 9.8, Enclave score 5/10) IBM Aspera Faspex · Authentication bypass Remote, no login needed. IBM Aspera Faspex 5.0.0 through 5.0.19 could allow an authorized user to craft a specific message to bypass user authorization… https://app.enclave.ai/threat-feed/CVE-2026-123218

⚠️ A new vulnerability with increased severity was disclosed for IBM Aspera Faspex (CVE-2026-123218) vuldb.​com/vuln/432227 https://t.co/2jrQDEJI4F