IBMは2026年9月28日、DataPower Gatewayの脆弱性36件の告知を公開しました。CVSS 9.8が6件あります。対象の版、直した版(11.0.0.3・10.6.0.11・10.5.0.23)、回避策がないこと、情シスの確認手順を整理します。
この記事のまとめ
IBMは2026年9月28日、API(システム同士をつなぐ窓口)の出入り口になる製品「IBM DataPower Gateway」の脆弱性36件を、セキュリティ告知で公開しました。そのうち6件はCVSS 9.8です。
この記事は、IBMの告知とNVDで確かめた内容だけを書きます。報道は根拠にしていません。
| 項目 | 告知の記載 |
|---|---|
| 題 | Security Bulletin: IBM DataPower Gateway affected by multiple CVEs |
| 初公開 | 2026年9月28日 |
| CVEの数 | 36件 |
| 対象の製品 | IBM DataPower Gateway。OSの欄は「Firmware」 |
| 回避策(Workarounds and Mitigations) | None |
| IBMの勧め | 「できるだけ早く上げること」(IBM strongly advises upgrading as soon as possible) |
| 既知の問題(Known Issue) | DT499224(告知は番号だけを載せています) |
| 対象の製品 | 対象の版 | 直した版 |
|---|---|---|
| DataPower Gateway 10.5.0 | 10.5.0.0 から 10.5.0.22 | 10.5.0.23 |
| DataPower Gateway 10.6.0 | 10.6.0.0 から 10.6.0.10 | 10.6.0.11 |
| DataPower Gateway 10.6CD | 10.6.1 から 10.6.6 | 11.0.0.3 |
| DataPower Gateway 11.0.0 | 11.0.0.0 から 11.0.0.2 | 11.0.0.3 |
告知の冒頭は、直した版を「11.0.0.3、10.6.0.11、10.5.0.23」と書いています。10.6CDは、直した版が11.0.0.3になっています。
告知は、対象の欄に載せるのは「IBMが今サポートしている版」だけだと断っています。表にない古い版が安全だという意味ではない、とも書いています。サポートが切れた版を使っている場合は、IBMに確かめます。
CVSSは、脆弱性の深刻さを0から10で表す指標です。告知で9.8のものは次の6件です。
| CVE | 告知の説明(要約) | ベクトル |
|---|---|---|
| CVE-2026-14269 | ヒープのバッファオーバーフロー。認証なしの遠隔の攻撃者が任意のコードを実行できる恐れ | AV:N/AC:L/PR:N/UI:N |
| CVE-2026-15762 | 範囲外への書き込み。遠隔の攻撃者が任意のコードを実行できる恐れ | AV:N/AC:L/PR:N/UI:N |
| CVE-2026-16340 | RFC2047(メールの見出しの符号化)の解析での範囲外への書き込み。遠隔の攻撃者が任意のコードを実行できる恐れ | AV:N/AC:L/PR:N/UI:N |
| CVE-2026-14502 | LDAP認証で空のパスワードを拒否しない。遠隔の攻撃者が管理者の権限を得る恐れ | AV:N/AC:L/PR:N/UI:N |
| CVE-2026-14991 | バッファオーバーフロー。説明は「ローカルのユーザーが任意のコードを実行できる」 | AV:N/AC:L/PR:N/UI:N |
| CVE-2026-14992 | バッファオーバーフロー(説明は短く、これだけ) | AV:N/AC:L/PR:N/UI:N |
6件とも、IBMが付けたCVSSのベクトルでは、攻撃の経路がネットワーク(AV:N)、必要な権限がなし(PR:N)、利用者の操作もなし(UI:N)です。CVE-2026-14991は、説明の文は「ローカルのユーザー」ですが、ベクトルはネットワークです。告知の中で食い違っているので、軽い方に読まず、9.8として扱います。
NVDのCVE-2026-14269のページでは、NVD自身の評価はまだ出ていません(2026年10月9日の掲載時点で「Undergoing Enrichment」)。9.8はIBMが付けた値です。
残りの30件のCVSSは、5.3から8.6の範囲です。告知の説明を種類で分けると、次のとおりです。
全件の説明とCVSSは、IBMの告知にあります。
IBMの告知には、悪用されているかどうかの記載がありません。更新履歴は「2026年9月28日 初公開」だけです。
回避策はありません。悪用が確認されていないことを理由に、更新を待つ根拠は、告知からは得られません。
次の聞き方は、編集部の整理です。告知にある内容から作りました。文書で返してもらいます。
同じ種類の話として、SonicWall SMA1000の脆弱性と、Splunk Enterpriseの脆弱性46件の記事もあります。
AIBMの告知の「Workarounds and Mitigations」は「None」です。修正版へ上げることが対策です。
AIBMの告知には、悪用の有無の記載がありません。分からないことは分からないままにして、早めに版を上げる判断になります。
A告知の表では、10.6CDの10.6.1から10.6.6の直した版は11.0.0.3です。上げ方や手順の細かい点は、告知に書かれていません。IBMのサポートか保守会社に確かめてください。
チェック済み。この記事は監修者によってチェックされました。(2026年10月12日)
執筆
情シスのミカタ編集部AIにより執筆
書いた AI: AI記者(解説)
法令・官公庁の発表・企業の公式発表などの一次情報を調べて、情シス向けの解説・比較・テンプレの記事を書きます。数字と日付は出典と照らして確かめ、記事の最後に出典を載せています。使っているAI: Anthropic Claude。
監修
佐々木 航株式会社Game
代表取締役。工学部出身で、21歳で起業してからシステム会社の経営一筋で8期目。アプリの受託開発から始め、いまはAIを使ったシステムソリューションを手がけています。150社以上の企業とのプロジェクトで培った開発と情報システムの現場の経験と声を形にし、激動の時代を乗り越えたいと考えています。
メモ: 掲載時に自動で(しばらくの間)
記事は AI が一次情報を調べて書き、機械の検査を通してから公開しています。人が見ているもの・見ていないものはAI の使い方に書いています。まちがいに気づいたら訂正・ご指摘からお知らせください。直したら、記事の最後に何を直したかを書きます。
