IBM Security Verify Access の 22 件の脆弱性が FIX：深刻な RCE などの恐れ

IBM Patches 22 Verify Access Flaws, Including Critical Remote Code Execution Bugs

2026/10/12 CyberSecurityNews — IBM が公表したのは、IBM Verify Identity Access および IBM Security Verify Access に存在する 22 件の脆弱性の修正に関する情報である。この中には、アプライアンス版およびコンテナ版に影響し、未認証のリモート・コード実行を可能にする、2件の深刻な脆弱性が含まれている。両方とも、信頼できないデータに対するデシリアライズの問題である。デシリアライズとは、保存または送信されたデータを、ソフトウェアがオブジェクトとして再構築する処理を指す。今回の脆弱性では、データの安全性に関する不適切な検証が問題となっている。

最も深刻な脆弱性は、CVE-2026-78401 と CVE-2026-78406 であり、いずれも CVSS スコアは 9.8 と評価されている。CVE-2026-78401 について公開されているセキュリティ・アドバイザリでは、未認証のリモートコード実行につながるリスクが確認されている。

IBM は、これら 2 件のデシリアライズの脆弱性について、ネットワーク経由で悪用可能であり、攻撃の複雑さは低く、権限やユーザー操作を必要としないと評価している。

ただし、公開されたセキュリティ情報には、脆弱なエンドポイントの具体的な情報や攻撃チェーンの説明は含まれておらず、実際に攻撃が確認されたとの報告もない。

これらの深刻な脆弱性は、有効なアカウントを持たない攻撃者であっても、脆弱なコードに到達できる点で特に注意が必要である。その一方で、深刻度の高さは潜在的な影響と攻撃の容易さを示すものであり、すでに実環境で悪用されていることを意味するものではない。

IBM は、重大なリモートコード実行の脆弱性を含む、Verify Access の 22 件の脆弱性を修正した。悪用に成功した攻撃者は、データの機密性／完全性／サービスの可用性に対して深刻な影響を及ぼす可能性がある。

Verify Access の 22 件の脆弱性を修正

今回のアドバイザリでは、CVSS スコアが 9.1 の 3件の脆弱性も対象とされている。

これらの問題は、前述のデシリアライズの脆弱性とは異なり、悪用に必要なアクセス条件や攻撃の結果がそれぞれ異なる。

CVE-2026-16916 は、保護メカニズムの不具合に起因する脆弱性であり、認証済みで高い権限を持つリモート攻撃者に対して、任意のコード実行を許すものである。CVE-2026-16823 はセキュリティ上の制限の回避を可能にする脆弱性であり、CVE-2026-19491 は認証バイパスを可能にする脆弱性である。

今回のアップデートは、以前に Cyber Security News が報じた、IBM Identity and Verify Access の脆弱性に続くものである。

以前の記事では、同じ製品ファミリーに存在する HTTP リクエスト・スマグリング／権限昇格といったセキュリティ上の問題が取り上げられていた。ただし、それらの過去の修正と、今回の 10月のパッチリリースを混同すべきではない。

IBM のセキュリティ情報では、CVE-2026-18740／CVE-2026-19482 (CVSS 8.8) にも対処している。

これらは引数インジェクションの脆弱性であり、認証済みのリモート攻撃者に対して、許可されていない操作の実行や、任意のコマンド実行を許す可能性がある。

また、CVE-2026-19493 (CVSS 7.5) は、パストラバーサルの脆弱性であり、リモート攻撃者に対してファイルの書き込みを許すものだ。

このほかにも、信頼されたセッション内で認証情報の漏えいにつながる可能性があるクロスサイト・スクリプティング (XSS)、データの改ざんやサービスの停止を引き起こす可能性がある SQL インジェクション、許可されていない操作を引き起こす可能性があるクロスサイト・リクエスト・フォージェリ (CSRF) などが含まれている。

追加の修正では、監査ログの偽造／不適切な認可チェック／認証ワークフローのバイパス／Snapshot Manager Container における情報漏えいにも対処している。

さらに、リソース割り当て／再帰処理／メモリの読み取りに関連する複数のサービス拒否 (DoS) の脆弱性も修正された。

IBM は、管理者権限とローカル管理インターフェイスへのアクセスを必要とする、スタックバッファへの書き込みに関する問題も修正している。

影響を受けるバージョンは以下のとおりである。

製品影響を受けるバージョン
IBM Security Verify Access10.0 ～ 10.0.9.2
IBM Security Verify Access Container10.0 ～ 10.0.9.2
IBM Verify Identity Access11.0 ～ 11.0.3
IBM Verify Identity Access Container11.0 ～ 11.0.3

IBM は、アプライアンス版の利用者に対し、Fix Central のダウンロードリンクから、以下の修正版をインストールするよう案内している。

  • IBM Verify Identity Access：11.0.3.1
  • IBM Security Verify Access：10.0.9.3

コンテナ版の利用者は、製品イメージとコンテナ・レジストリの場所を案内する、IBM のコンテナ・ダウンロード・ガイドに従う必要がある。

なお、IBM はバージョン 11.0.0 から、製品名を Security Verify Access から Verify Identity Access に変更している。

今回のセキュリティ情報には、回避策や緩和策は記載されていない。

IBM は利用者に対して速やかなアップデートを推奨しており、影響を受けるサポート対象環境における、これらの脆弱性への対処方法として、修正プログラムの適用を案内している。

過去に修正されたアプライアンス版の脆弱性については、以前の IBM Security Verify におけるコマンド実行の問題に関する記事でも関連情報が紹介されている。

この記事は、IBM の ID 管理製品である Verify Identity Access および Security Verify Access に存在する脆弱性について解説するものです。入力データの検証不備や保護機能の不足といった背景があり、攻撃者による不正アクセスや任意コードの実行を許す問題が生じています。影響として、システム制御権の奪取／アクセス制御の回避／データの不正操作／サービスの不具合発生が挙げられます。対応策として、提供されている修正版プログラムの迅速な適用が求められます。