JVN iPediaは2026年10月13日、IBM Security Verify Accessなどに関するCVE-2026-11888を掲載しました。関連する脆弱性情報は計4件あり、情報の漏えいや改変、資格情報の漏えい、監査ログの偽造につながる可能性があります。4件の対象版は共通で、利用企業は製品名と版番号を照合したうえで、個別の対策を確認する必要があります。
4件に共通する対象製品と版
CVEは脆弱性を識別する番号です。今回のCVE-2026-11888、CVE-2026-11930、CVE-2026-11936、CVE-2026-11939には、共通する対象範囲が示されています。
- IBM Security Verify Access：10.0.0以上、10.0.9.3未満
- IBM Verify Identity Access：11.0以上、11.0.3.1未満
- IBM Security Verify Access Container：10.0.0.0～10.0.9.2
- IBM Verify Identity Access Container：11.0.0.0～11.0.3.0
通常版とContainer版では版番号の表記が異なります。製品名を省略せず、版番号とセットで確認してください。
CVE-2026-11888は、不正なコードを挿入する「コードインジェクション」に分類されます。JVNによると、扱う情報全てが漏れる可能性があります。攻撃に特権や利用者の関与は不要です。深刻度を数値で示すCVSS v3の基本値は、NVD評価で7.5(重要)です。
4件とも対象版の範囲は明記されていますが、修正版は資料に明記されていません。対象範囲の上限だけを根拠に更新先を決めず、IBMのセキュリティ情報で確認してください。JVNも同情報の確認と適切な対策を案内しています。
認可・管理画面・監査ログで異なるリスク
CVE-2026-11930は、操作や情報へのアクセスを許可する「認可」が適切に働かない脆弱性です。一部のウェブサーバーで認可が正しく適用されず、扱う情報全てが改変される可能性があります。CVSS v3基本値はNVD評価で7.5(重要)。攻撃に特権や利用者の関与は不要です。
CVE-2026-11936は、ウェブ画面に不正なスクリプトを埋め込むクロスサイトスクリプティングの脆弱性です。ローカル管理インターフェースの特定設定で、認証済みユーザーがWeb UIに任意のJavaScriptを埋め込めます。信頼されたセッション内で、認証に使う資格情報が漏れる可能性があります。基本値はNVD評価で5.4(警告)で、攻撃には低い特権レベルと利用者の関与が必要です。
CVE-2026-11939は引数の挿入・変更に関する脆弱性です。JVNによると、監査ログを偽造される可能性があります。基本値はNVD評価で5.3(警告)。攻撃に特権や利用者の関与は不要です。
これら3件の対象版は、CVE-2026-11888と同じ範囲です。ただし、具体的な設定条件や修正版は資料に明記されていません。対象版に該当するかの確認と、設定条件や対策の確認を分け、IBMのセキュリティ情報でCVEごとに調べてください。
影響する会社・しない会社
- 影響する: 上記4製品を記載された対象版の範囲で使う会社です。通常版だけでなくContainer版も確認対象です。
- 影響する: 対象版の製品の運用を委託している会社です。4件とも対象版が示されているため、委託先に製品名と版番号を確認し、各CVEの対象範囲と照合してください。
- 影響しない: 上記4製品を利用していない会社は、今回の4件について製品の更新作業を行う対象ではありません。
- 影響しない: 4件とも資料に記載された対象版の範囲は共通です。その範囲外の版は、今回の4件の対象として挙げられていません。詳細はIBMのセキュリティ情報で確認してください。
情シスが今日やること
- 今日中にIT資産台帳と委託先の構成資料を確認し、製品名、版番号、Container版かどうかを記録します。管理画面で版を確認する具体的な場所は資料にないため、不明な場合は運用担当者や委託先に照会してください。
- JVN iPediaの4件の情報とIBMのセキュリティ情報を照合します。対象版への該当状況、修正版、必要な設定変更をCVEごとに整理してください。修正版と対策期限は資料に明記されていないため、確認できた情報と未確認の項目を分けて記録します。
- 運用担当者や委託先に、認可が問題となるウェブサーバーと、ローカル管理インターフェースの対象設定の確認を依頼します。設定名や管理画面内の場所は資料にないため、推測で変更せず、IBMの情報で対象条件を特定してください。
- セキュリティ担当者に、情報漏えいや改変に加え、監査ログ偽造の可能性も共有します。対策方針が決まった段階で、更新・設定変更の担当者、実施予定日、確認方法を関係者に知らせてください。
