IBM webMethods CVE-2026-117545はHigh―二要素認証の回避、12.1向けCore Fixを案内

IBMは2026年11月3日、webMethods Integration Server 12.1の二要素認証を回避できるCVE-2026-117545を公表しました。IBMのCVSS v3.1評価は8.8、High。CVEレコードの公開は11月8日UTCですが、製品向けの修正案内はそれ以前から提供されています。

不適切な認証処理により、ネットワーク経由の認証済み攻撃者がセキュリティ制限を回避する問題です。CVSSでは低い権限が必要で、利用者の追加操作は不要と評価されています。二要素認証の回避というタイトルだけから、資格情報を持たない相手も侵入できると読み替えないことが重要です。

影響製品として挙げられているのはIntegration Server 12.1です。IBMはIS_12.1_Core_Fix1またはそれ以降のCore Fixを推奨し、webMethods Update Managerから取得・導入するよう案内しています。各修正のreadmeに従い、製品のバージョンだけでなくCore Fixの適用状態を確認します。

公式告知は回避策を「なし」としています。認証を回避する具体的なリクエスト、影響する画面、実悪用の確認については説明していません。また、告知に記載されないサポート終了版が安全だと判断する根拠にもなりません。