IBMは、同社のAPI Connectプラットフォームに影響する重大な脆弱性に関して、緊急のセキュリティ警告を発出しました。
内部テストで特定されたこの欠陥により、攻撃者は認証手順を回避し、機密性の高いシステムへ不正にアクセスできる可能性があります。
問題の深刻さを踏まえ、IBMは管理者に対し、環境を保護するため利用可能な更新を直ちに適用するよう強く求めています。
この脆弱性はCVE-2025-13915として追跡され、深刻度はクリティカルに評価されています。原因は、API Connectソフトウェアにおける認証回避の弱点（CWE-305）にあります。
簡単に言えば、この欠陥はアプリケーションの玄関にあるセキュリティの「鍵」が壊れていることを意味します。内部ネットワークに接続していないリモートの攻撃者でも、これを悪用して有効な認証情報なしにログインできる可能性があります。
侵入後は、得られたアクセス権限のレベルに応じて、データへのアクセス、設定変更、サービス妨害などを行える可能性があります。
この脆弱性はCVSSスコアが10点満点中9.8であるため、極めて危険と見なされています。複雑なハッキング技術を必要とせず（攻撃の複雑性が低い）、成功に正規ユーザーの操作も不要です。
この脆弱性はIBM API Connectの特定バージョンに影響します。組織で以下のいずれかを使用している場合、リスクがあります：
IBMは影響を受けるすべてのバージョン向けに暫定修正（iFix）を公開しました。セキュリティチームはIBM Support Portalからパッチを直接ダウンロードする必要があります。
すぐにパッチを適用できない組織向けに、IBMは一時的な緩和策も提供しています。管理者はDeveloper Portalでセルフサービスのサインアップを無効化してください。
これにより新規ユーザー向けの一部機能が制限される可能性はありますが、この脆弱性に関連する攻撃経路を遮断するのに役立ちます。
ただし、この回避策はあくまで暫定措置にとどめるべきです。APIインフラを攻撃から安全に守るための完全な解決策は、公式のセキュリティパッチを適用することだけです。
翻訳元: https://cyberpress.org/critical-ibm-api-connect-vulnerability/