IBMのPayment Agentが未認証のランブック書き込みを許可 — CVE-2026-18875

IBMは決済プラットフォームIBM Financial Transaction ManagerのAIエージェントサーバーにおける欠陥を公表した。資格情報を持たない呼び出し元が任意のランブックを、エージェントが取得元とするベクトルデータベースに書き込むことができ、その後、エージェント自身のModel Context Protocolツール呼び出しが、読み取った内容によって誘導されうるというものだ。2026年9月21日に公開されたIBMのセキュリティ情報によると、この欠陥は「不正な決済操作や決済データの持ち出し」につながる可能性がある。このCVE、CVE-2026-18875は、2026年9月23日にCVSS 3.1基本スコア7.3で公開され、CWE-74に分類され、api.vectordb.runbooks.js:51に位置する。野生での悪用は記録されておらず、顧客、決済、データの損失もこれに起因するものはない。この記述はOrca AI Incident Archiveの単一のエントリから引用したもので、同アーカイブはCVE-2026-18875を、害が記録されていない中程度の重大度の脆弱性として記録し、他の文書化されたエージェントインシデントの隣に位置づけている。

47件のCVEを含む bulletin の中の1件のCVE

この脆弱性に関するIBMのアドバイザリは、単独の通知ではありません。セキュリティ・ブリテン：IBM Financial Transaction Manager（FTM）が複数の脆弱性の影響を受けるという文書UID ibm17288641の1項目であり、その影響製品表と修復表はバッチ内のすべてのCVEを対象としています。このページには47個の異なるCVE識別子が掲載され、IBMによるスコアは3.7から9.9、変更履歴には次の1行だけが記載されています：「2026年9月21日：初回公開」 このブリテンは公開後に改訂されておらず、謝辞セクションは空です — IBMは47件の検出事項のいずれについても、研究者、報告者、顧客の誰もクレジットしていません。

RAGの項目はそのリストの中で異例です。隣接するCVEの説明のほとんどは、ごく普通のミドルウェア衛生管理のように読めます。ハードコードされた暗号鍵、パストラバーサル、XML外部エンティティ処理、安全でないデシリアライズ、そしてIBMが「リモート攻撃者による不正な支払い操作の実行を可能にする可能性がある」と述べる認可チェックの欠如です。CVE-2026-18875だけが、製品のAIエージェントが推論対象の素材を取得する方法における欠陥を説明しています。アドバイザリから全文引用したIBMの説明は次のとおりです。

IBM Financial Transaction Manager（FTM）4.x は、FTM AI エージェントサーバー（api.vectordb.runbooks.js:51）における未認証のランブック upsert（CWE-74）を介して RAG ポイズニングの脆弱性があります。未認証の攻撃者は、悪意のあるランブックコンテンツをエージェントのベクターデータベースに挿入し、AI 駆動の MCP ツール呼び出しを誘導することで、不正な支払い操作を引き起こしたり、支払いデータを窃取したりする可能性があります。

日付は分けて考える価値がある。なぜなら、レコードと速報では同じ日付が使われていないからだ。IBMの速報には初回公開日として2026年9月21日が記載されている。CVE識別子は2026年8月4日に予約され、CVEレコード自体は2026年9月23日15:47 UTCに公開された。NVDのエントリは同日16:16 UTCに続いた。アーカイブでは、このインシデントを、CVEが公開された日である2026年9月23日に、日単位の精度で記録している。

仕組み：エージェントが信頼するストアへの書き込み

検索拡張生成システムは、ストアからパッセージを取得し、それをコンテキストとしてモデルの前に置くことで機能する。IBMのアドバイザリは、その層に「runbook upsert」関数、つまりランブックのエントリをエージェントのベクトルデータベースに書き込む操作を置いており、この操作が認証なしで書き込みを受け入れたと述べている。アドバイザリに記載されたパス api.vectordb.runbooks.js:51 はJavaScriptサービスを指しており、IBMが開示しているアーキテクチャはこれで尽きる。

そのため、これは、ほとんどのエージェント事故の原因となる間接プロンプトインジェクションとは異なる話になる。通常の場合、攻撃者はブラウジングやファイル読み取りを行うエージェントにコンテンツを読ませる必要がある。つまり、エージェントが取得するページ、開く文書、要約するメールを汚染するのだ。ここでは外部から何も取得する必要がない。攻撃者は、エージェントがすでに信頼しているストアに汚染された知識を直接書き込み、ストアは支払いワークフロー中にそれを検証済みの運用ガイダンスとして返す。この脆弱性をRBT-TI-0099として報告し、ゼロクリックのデータ窃取を伴う間接プロンプトインジェクションと位置づける脅威インテリジェンス企業Redbot Securityは、その違いを一行でこう説明している。「取得されたコンテンツは運用上の影響力になり得る」 アーカイブがこの記録にIPIとINFRAのタグを付けるのも同じ理由だ。インジェクション経路はエージェントの指示レイヤーであり、脆弱性はインフラストラクチャにある。

IBMが語らないことは、語っていることと同じくらい重要だ。このアドバイザリは、エージェントが呼び出せるMCPツールを明示しておらず、それらがどの決済操作に到達するのかも、upsertルートがデフォルトのFTMデプロイメントで公開されるのか、それとも特定の構成でのみ公開されるのかも述べておらず、それを保護するはずだった認証モデルについても説明していない。それは「潜在的に」と述べるだけで、そこで終わっている。

7.3を読んでいます

CVSS 3.1ベクトルはAV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:Lです。分解すると、ネットワーク経由で到達可能、攻撃複雑性は低、権限不要、ユーザー操作不要であり、これが深刻さの要因です。さらに機密性への影響は低、完全性への影響は低、可用性への影響は低で、スコープは変更なしです。IBM自身の数値では、悪用可能性は3.9、影響は3.4です。IBMが評価した影響の各次元はすべてLowです。7.3というスコアは、IBMが考える被害の大きさではなく、ほぼ全面的に、この脆弱性への到達がいかに容易であるかによって押し上げられています。

IBMだけがこれにスコアを付けています。NVDは2026年10月7日時点でCVE-2026-18875を「Analyzed」としていますが、その記録にある唯一のCVSS指標はIBMによるもので、「Secondary」とタグ付けされています。NVD自身は一次スコアを提供していません。GitHubのAdvisory Databaseにも同じ説明と同じ7.3が掲載されており、2026年9月23日18:31 UTCに公開されています。

IBMが作成していない評価に最も近いものは、CVEレコード上のCISAのADP Vulnrichmentブロックにあり、2026年9月23日18:48 UTCに記録されたSSVC 2.0.3の判断です: 悪用: なし。自動化可能: はい。技術的影響: 部分的。 この判定は同時に2つのことを示しており、どちらも同じ文に入れるべきです: CISAのコーディネーターは公開時点で悪用を確認しておらず、この脆弱性を自動化可能と見なしていました — 単発の手動攻撃というより、スキャナーやスクリプトが処理できる類のものです。

FIRSTのExploit Prediction Scoring Systemは、2026年10月25日付のモデル実行において、CVE-2026-18875を0.00369、つまり約0.37%で、30パーセンタイルと評価した。EPSSは今後30日間に悪用が観測される確率を推定するものであり、30パーセンタイルというスコアは控えめな数値であって、実際に起きた事象の報告ではなく予測である。

何が確立されており、何が確立されていないのか

確認済み。 この脆弱性は実在し、互いに一致する一次情報源に文書化されています。すなわち、2026年9月21日付のIBMの公告、2026年9月23日に公開されたCVEレコード、NVDの分析済みエントリ、およびGitHubのアドバイザリです。影響を受けるバージョン範囲、修正バージョン、CVSSスコアとベクトル、CWEマッピング、コードの場所は、それらすべてで同一です。書き込みパスには認証情報なしで到達可能でした。これはスコアからの推測ではなく、IBM自身の説明に記載されています。CISAのコーディネーターは悪用を記録していません。アーカイブはこのレコードの信頼度をAと評価しており、争いはなく、実際の被害はfalseとして記録されています。

• 脆弱性。FTM AIエージェントサーバーの api.vectordb.runbooks.js:51 における認証不要のランブックupsertで、攻撃者が、エージェントが取得するベクターデータベースにコンテンツを挿入できる状態でした。これはIBMの文言であり、再構成ではありません。

• IBMが主張する結果。汚染されたコンテンツが、MCPツール呼び出しを未承認の支払い行為や支払いデータの持ち出しへと誘導する可能性があるというものです。IBMはこれを潜在的な結果として述べており、顧客環境で実証したとは主張していません。

• 修正。 FTM 4.0.11.0。IBM サポート・ノード 7285661 を参照しています。この速報の「回避策と緩和策」フィールドには「なし」と記載されています。

• 悪用の記録。 なし。2026年9月23日付のCISAのSSVC記録では、悪用状況は「なし」となっている。2026年10月25日時点のEPSS値0.37%は予測であり、観測されたものではない。また、レビューしたどの情報源にも被害者、取引、損失は見当たらない。

確定していない。誰がどのようにしてこの欠陥を発見したのか——速報には発見者の名前が一切記載されておらず、名前を明かした研究者による公開解説も存在しない。脆弱なルートが既定のデプロイで露出するのか、特定の設定下でのみ露出するのか。4.0.11.0 が実際に何を変更するのか：upsert ルートが認証を要求するようになったのか、削除されたのか、それとも別の形で制限されたのか。FTM のデプロイがエンドポイントを信頼できないネットワークに露出させたことがあるのか、また、8月4日の予約から9月23日の公開までの間、それがどのくらいの期間だったのか。そして、IBM が警告する支払いアクションがどこかで試行されたことがあるのか。

セカンダリトラッカーにおけるバージョン範囲はすべて一致しているわけではありません。影響を受ける範囲を「4.0.6.0 以前」と表記しているものもありますが、これは IBM が公開した内容ではありません。また、4.0.7.0 から 4.0.11.0 未満としているものは、NVD の機械可読な設定とは一致するものの、4.0.6.0 の中間修正ラインが省略されています。ここでは IBM の bulletin が権威であり、上のカードに再掲されている 6 つのバージョン系統が記載されています。

もう一つ確立されていない点がある。それは、誰も確立しようとしてこなかったからだ。主流のニュース組織や独立系研究ラボが、CVE-2026-18875について独自の分析を公表した形跡はない。IBMが書いていない公開記録上の唯一の評価は、CISAの3項目のSSVCブロックである。2026年10月26日時点で、報道内容はIBMの bulletin、CVEレコード、NVD、GitHubのアドバイザリ、およびIBMの文面をそのまま再掲する一連の脆弱性トラッカーで構成されている。このCVEに関する検索結果のいくつかは出自が不明瞭なブログ投稿で、機械生成のように読めるものもあり、その一部は暗号資産価格ウィジェットも公開しているサイトにある。ここではそれらのいずれも情報源として使用していない。このバグについての第二の独立した説明は存在しない。

修正と、その後に残るギャップ

IBMの修復策はバージョンアップのみで、それ以外には何もない。FTM for Red Hat OpenShift のデプロイメントを4.0.11.0に更新することであり、最初の修正はサポートノード7285661にあり、暫定的な回避策は提供されていない。この最後の点が実務上重要だ。ベンダーが回避策の欄に「なし」と公開している場合、決済のスケジュール上4.0.11.0へ移行できない運用担当者に残されるのは、ベンダーが書き留めなかった対策だけである。つまり、エージェントサーバーのランブックインターフェースに到達できる人を制限することであり、これはRedbot Securityが推奨し、IBMは推奨していない。

事の重大性は、FTMが何であるかによって決まる。IBMはFTMを「決済を安全に処理、監視、管理する統合決済ハブであり、バッチ型とリアルタイム型を含むあらゆる決済タイプに対応する」と説明しており、トランザクションの処理とルーティングを支えるISO 20022サポートと、認定されたSWIFT接続を実現する併設のSWIFT製品を備えている。IBMの製品ページでは、FTM AI Assistantも宣伝されている。これは「エージェント型の生成AIを活用した対話型インターフェース」であり、支払い、承認、システムパフォーマンス、ドキュメントを対象とする。アドバイザリは「FTM AI agent server」を欠陥の所在として挙げているが、そのサーバーがマーケティングページ上のアシスタントとどう関係するかについては何も述べていない。2つの文書を合わせてアーキテクチャ図を描く人は、推測しているにすぎない。

Redbotがこの事例から引き出した設計上の教訓は、パッチ後も残るものだ。つまり、取得したコンテンツを権限の経路から外しておくことである。その提言は、ランブックの作成・置換・削除には認証、承認、帰属の特定を必須とすること、取得したランブックに単独で支払いを承認させたり、取引範囲を広げさせたり、外部データ転送を許可させたりしてはならないこと、そして接続された決済サービスが、エージェントが取得した内容をどう解釈するかに関係なく、自らの権限を適用することだ。これらは脅威インテリジェンス企業の提言であり、IBMの約束ではなく、IBMの公告はそのいずれも述べていない。

なぜアーカイブはそれを「medium」と呼ぶのか

記録とCVSSスコアは異なる問いに答えており、その間の隔たりこそがこの案件の正直な要約である。IBMの7.3は、きわめて容易に到達可能な欠陥に対するHIGH帯のスコアだ。アーカイブはこの項目をインシデントではなく脆弱性として記録し、severityはmedium、real harmはfalse、confidenceはA、disputeフラグはなく、日付は2026年9月23日そのままで、global regionフィールド付きで登録されている。これらのフィールドは何が起きたかを示しており、そして起きたことは何もない。

その組み合わせこそが、この項目の要点だ。誰でも書き込めるストアから読み取る決済エージェントは、重大な設計上の問題であり、誰かがそれを使ったと確認されるよりも前に、バージョンアップで修正された。両方の半面が真実であり、記録はスコアや沈黙だけに語らせるのではなく、その両方を切り離したままにしている。