CVE-2026-17301CVSS 9.8签名验证缺陷导致认证绕过
产品错误验证加密签名时，未认证攻击者可绕过认证。两份公告均列出该漏洞。
IBM API Connect 更新修复认证绕过及远程代码执行漏洞
IBM 11 月 5 日的 API Connect 公告涵盖认证绕过与代码执行漏洞，其中部分无需登录。API Connect 10.0.8.0–10.0.8.12 应升至 10.0.8.13，V12 OnPrem 12.1.0.0–12.1.1.2 应升至 12.1.1.3。具体 CVE 随版本线而异。
- 披露时间
- 2026年11月5日
- 公开披露日期
- 严重程度
- CVSS 9.9 × 1
- 本页收录 5 个 CVE
- 波及范围
- 可经网络访问且使用受影响 10.0.8 或 V12 OnPrem 构建的 IBM API Connect。认证前提因漏洞而异。
- IBM · API Connect · 网关 · 认证
- 在野利用
- 未知
- IBM 公告说明漏洞影响及补丁，未报告实际利用。
发生了什么
11 月 5 日的两份公告涵盖部分相同的 CVE，也分别列有各版本线特有的漏洞。上文重点列出严重的认证及执行路径。请查阅对应版本的公告，确认完整清单及利用前提。文中分数采用 IBM 的 CVSS 3.1 基础评分。IBM 未在公告中公布受害数据或确认在野利用。
马桶里有什么
CVE-2026-17117CVSS 9.9对象属性可导致已认证代码执行
已认证攻击者可修改系统保留属性，并可能执行代码。两份公告均列出该漏洞。
CVE-2026-17340CVSS 9.8路径穿越导致远程代码执行
IBM V12 公告列出可导致代码执行的路径穿越漏洞，评分标为无需权限。
CVE-2026-17360CVSS 9.8硬编码凭据可导致完整管理员控制
IBM V12 公告称远程攻击者可通过硬编码凭据取得管理员控制。
CVE-2026-16720CVSS 9.8目录认证缺陷可导致访问令牌被获取
两份公告均列出关联目录的认证缺陷，远程攻击者可借此取得其他用户的访问令牌。
修复版本
| 产品 | 安全版本 | 备注 |
|---|---|---|
| IBM API Connect 10.0.8.0–10.0.8.12 | 10.0.8.13 | 使用 V10 Fix Central 软件包 |
| IBM API Connect V12 OnPrem 12.1.0.0–12.1.1.2 | 12.1.1.3 | 使用 V12 OnPrem 软件包并遵循升级说明 |
案发时间线
2026年11月5日
IBM 分别发布 V10 和 V12 OnPrem 安全公告
两份公告列出不同的 CVE 清单及各版本线的修复。
各方说法
我们列出每条说法和它的出处，并标出一手来源（厂商、研究人员、软件仓库）。各方说法不一致时，按最坏的可信情况定级。
- IBM API Connect V12 OnPrem 公告一手来源列出 12.1.0.0–12.1.1.2 受影响范围、12.1.1.3 修复及完整 CVE 清单。
- IBM API Connect V10 公告一手来源列出 10.0.8.0–10.0.8.12 受影响范围、10.0.8.13 修复及完整 CVE 清单。