CVE-2026-17362

🆕 New CVE IBM API Connect V12 OnPrem: missing authorization in tenant management (CVE-2026-17362) A remote attacker without logging in can create, modify, or delete tenants. Patch → see advisory https://cve.now/CVE-2026-17362?utm_source=x&utm_medium=social&utm_campaign=cvedotnow&utm_content=critical

🆕 New CVE: CVE-2026-17362 (CVSS 9.8, Enclave score 5/10) Multiple Vulnerabilities in IBM API Connect Remote, no login needed. IBM API Connect 12.1.0.0 through 12.1.1.2 could allow a remote attacker to create, modify, or delete tenants due to missing… https://app.enclave.ai/threat-feed/CVE-2026-17362

‼️ Running API Connect 12.1.1.2 leaves **tenant deletion exposed** to remote attackers. CVE-2026-17362 describes missing authorization in IBM API Connect releases from 12.1.0.0 to 12.1.1.2. A remote attacker could create, modify, or delete tenants. IBM says v12.1.1.3 installation files are available through Fix Central; VMware upgrades may also require Control Plane files to bring Kubernetes to a supported release. This is a tenant administration boundary, not just a risk to the APIs the gateway serves. Check the deployed version in your manifest. Until the upgrade is complete, restrict access to tenant administration and review tenant creation, modification, and deletion events for unexpected changes. Early report: these facts come from first disclosures and are not confirmed yet. Expect them to change.

【11/7 夕方】CVE・脆弱性ニュースまとめ ■国内 新たに対象となるものはありませんでした ■海外 ① IBM「IBM API Connect」：CVSS 9.9を含む多数の脆弱性を修正、12.1.1.3へ更新を（CVE-2026-17360ほか、CVSS v3.1 9.9） IBMが11月7日にAPI Connectの多数の脆弱性をまとめたセキュリティ情報を公表しました。昼以降に確認できた公表分だけでも208件にのぼり、うちCVSS 9.0以上が47件、9.9が20件です。ハードコードされた認証情報で管理者権限を奪われる問題（CVE-2026-17360、CVSS 9.8）や、パストラバーサルで任意のコードを実行される問題（CVE-2026-17239、CVSS 9.9）、認証なしでテナントを作成・変更・削除される問題（CVE-2026-17362、CVSS 9.8）などが含まれます。対象は12.1.0.0から12.1.1.2までで、修正版は12.1.1.3です。CVE記録では10.0.8.0から10.0.8.12までも対象とされています。現時点で実際の悪用の報告は確認できていません。 出典：CVE記録 https://www.cve.org/CVERecord?id=CVE-2026-17360 出典：IBM https://www.ibm.com/support/pages/node/7295635 ② payever「payever – WooCommerce Gateway」：ログインなしでファイルをアップロードされ、コードを実行されうる脆弱性、4.9.0で修正（CVE-2026-93754、CVSS v3.1 9.8） WooCommerceの決済プラグイン「payever – WooCommerce Gateway」に、ログインしていない攻撃者が任意のファイルをアップロードできる脆弱性が公表されました。認証や権限の確認がないAPIの処理で、ファイルの種類を確認する前に外部から取得したファイルを公開領域へ書き込んでしまうため、PHPファイルを実行させてサイトを乗っ取られるおそれがあります。対象は4.8.0までで、修正版は4.9.0です。現時点で実際の悪用の報告は確認できていませんが、決済に使っているサイトは更新を急いでください。 出典：CVE記録 https://www.cve.org/CVERecord?id=CVE-2026-93754 出典：Wordfence https://www.wordfence.com/threat-intel/vulnerabilities/id/03412063-d73a-4c5c-8dc6-3e76a5d975a5 ③ Printcart「Printcart Store – Web to Print Product Designer for WooCommerce」：ログインなしでファイルをアップロードされ、コードを実行されうる脆弱性、2.13.3で修正（CVE-2026-19803、CVSS v3.1 9.8） WooCommerceの商品カスタマイズ用プラグイン「Printcart Store」に、ログインしていない攻撃者が任意のファイルをアップロードできる脆弱性が公表されました。デザインの切り抜き処理で、利用者が指定したURLを正規化せずにパスへ組み込んでしまうため、公開領域の外にPHPファイルを書き込まれ、実行されるおそれがあります。対象は2.13.2までで、修正版は2.13.3です。ただし、高度なアップロード画面の設定を有効にしている場合に限ります。現時点で実際の悪用の報告は確認できていませんが、該当する設定のサイトは更新を急いでください。 出典：CVE記録 https://www.cve.org/CVERecord?id=CVE-2026-19803 出典：Wordfence https://www.wordfence.com/threat-intel/vulnerabilities/id/2525ed97-b701-4f95-8d8c-202e816723c5 ④ IBM「IBM Aspera Faspex」：認可をすり抜けて管理者権限を奪われうる脆弱性、5.0.19 PL1で修正（CVE-2026-123218、CVSS v3.1 9.8） ファイル転送サービス「IBM Aspera Faspex」に、認可をすり抜けて管理者権限を奪われる脆弱性が11月7日に公表されました。認証済みの利用者が細工したメッセージを送ることで、利用者の認可を回避して管理者権限を得られてしまうおそれがあります。対象は5.0.0から5.0.19までで、修正版は5.0.19 PL1です。回避策はなく、IBMは速やかな更新を求めています。現時点で実際の悪用の報告は確認できていません。 出典：CVE記録 https://www.cve.org/CVERecord?id=CVE-2026-123218 出典：IBM https://www.ibm.com/support/pages/node/7295921 ■注意点 ・IBM API ConnectはCVSS 9.0以上の脆弱性を47件含む大規模な一括公表です。12.1.1.3への更新を行ってください。 ・payeverとPrintcartは、ログインなしでコードを実行されうる重大な問題です。WooCommerceで使っている場合は、修正版への更新を急いでください。 ・IBM Aspera Faspexは管理者権限を奪われうる問題で、回避策はありません。5.0.19 PL1への更新を行ってください。 #脆弱性 #CVE #サイバーセキュリティ

Critical IBM API Connect flaw: CVE-2026-17362 lets unauthenticated attackers create, change or delete tenants. V12 OnPrem 12.1.0.0–12.1.1.2 are affected (CVSS 9.8). @IBMSecurity Upgrade to 12.1.1.3; IBM lists no workaround: https://www.ibm.com/support/pages/node/7295635 #CyberSecurity https://t.co/iTN5JnFHtx

CVE-2026-17362: Κρίσιμη ευπάθεια στο IBM API Connect απειλεί περιβάλλοντα πελατών https://www.secnews.gr/749112/cve-2026-17362-ibm-api-connect-eupatheia/?fsp_sid=23056