はじめに
IBM Planning Analytics Local（以下、PA Local）のセキュリティ情報（Security Bulletin）が、2026年10月15日付で更新されています。CVSS 8.8の脆弱性を含み、PA Local 2.1.0〜2.1.23の修正先として2.1.24が案内されています。
この記事では、公式の文書から分かることを、運用担当者の目線で短く整理します。
本記事はIBM非公式の個人による整理です。対応の判断は、必ずIBMの原文とIBMサポートの案内にもとづいて行ってください。
要点
- PA Local 2.1.0〜2.1.23は、2.1.24への更新が案内されています。回避策・緩和策は「なし（None）」です。
- PA／TM1本体の脆弱性は9件あり、そのうち3件がCVSS 8.8です。
- PA Cloudは、IBMにより対策済みとされています。
- 10月15日は文書の「最終更新日」です。変更履歴に書かれているのは10月7日の初回公開と10月8日のCVE情報の更新までで、15日に何が変わったかは書かれていません。
文書の基本情報
| 項目 | 内容 |
|---|---|
| 文書名 | Security Bulletin: IBM Planning Analytics Local is affected by security vulnerabilities |
| 文書ID | 7291604 |
| 初回公開 | 2026年10月7日 |
| 変更履歴 | 2026年10月8日 Updated CVE details |
| 最終更新日 | 2026年10月15日 |
| 影響対象 | IBM Planning Analytics 2.0／2.1 |
| 修正 | PA Local 2.1.0〜2.1.23 → 2.1.24（Fix Central） |
| 回避策・緩和策 | なし |
PA／TM1本体の脆弱性（9件）
CVSSはIBMが記載した基本スコアです。「攻撃に必要な権限」はCVSSベクトルのPR（Privileges Required）の値です。
| CVE | CVSS | 攻撃に必要な権限 | 内容 |
|---|---|---|---|
| CVE-2026-76587 | 8.8 | 低（PR:L） | TM1のC++ ODataエンジンにおけるスタックベースのバッファオーバーフロー。認証済みのREST経由で到達可能 |
| CVE-2026-19620 | 8.8 | 低（PR:L） | 不適切な認証処理により、管理者権限を不正に得られるおそれ |
| CVE-2026-19622 | 8.8 | 低（PR:L） | サブリクエストの検証不備による認証回避・権限昇格 |
| CVE-2026-85457 | 8.1 | 低（PR:L） | スタックベースのバッファオーバーフローによる任意コード実行 |
| CVE-2026-19627 | 8.1 | 不要（PR:N） | ファイルパスの検証不備。ホスト上の任意ファイルの読み取り、一部アプリケーションファイルの上書き |
| CVE-2026-75061 | 7.5 | 不要（PR:N） | ディレクトリトラバーサル（/../）による任意ファイルの書き込み |
| CVE-2026-17475 | 7.1 | 低（PR:L） | 機能レベルのアクセス制御不備。他ユーザーのフォルダーやアプリケーションの削除 |
| CVE-2026-18541 | 6.4 | 低（PR:L） | 保存型XSS |
| CVE-2026-75063 | 5.4 | 低（PR:L） | 出力エンコード不備によるXSS |
補足が2つあります。
- ログインなしで攻撃できると評価されたものが2件あります。 CVE-2026-19627とCVE-2026-75061は、攻撃に必要な権限が「不要（PR:N）」です。ネットワーク上で誰がサーバーに届くかが、リスクを大きく左右します。
- PAWだけの話ではありません。 Bulletinの概要ではPAWコンポーネントの脆弱性とされていますが、CVE-2026-76587は「TM1のC++ ODataエンジン」、つまりTM1 Server側のREST APIに関わる記載です。
このほか、WebSphere Application Server／Liberty、Netty、Apache Shiro、Log4j Core、logback、jackson-databind、node-tar、DOMPurifyなど、製品に含まれるミドルウェア・ライブラリの脆弱性も載っています。
自分の環境のバージョンを確かめる
TM1 ServerのバージョンはREST APIで確認できます。
# <host>、<port>はTM1 ServerのHTTPPortNumberに合わせて変更
# 認証方式（基本認証／CAMなど）は環境に合わせてください
# -k は証明書の検証を省略します。正式な証明書を使っている環境では外してください
curl -k -u <user>:<password> \
"https://<host>:<port>/api/v1/Configuration/ProductVersion"
返ってきたバージョンとビルドを、PAW・TM1 Web・PAfEのバージョンと一緒に記録しておくと、更新後の確認にも使えます。
バージョン別の判断
| 使っているもの | 判断 |
|---|---|
| PA Local 2.1.0〜2.1.23 | 2.1.24への更新を優先して検討する |
| PA Local 2.1.24 | 修正版として案内されている。TM1 Server・PAWなど各コンポーネントが2.1.24にそろっているか確認する |
| PA 2.0系 | 影響対象に載っているが、修正の案内は2.1系向けのみ。対応方針はIBMサポートに確認する |
| PA Cloud | IBMにより対策済み |
公式情報だけでは分からないこと
- 10月15日の更新で、具体的に何が追加・変更されたか
- 各CVEが、TM1 Server／PAWのどのビルドで修正されているかの詳しい対応表
- 2.0系の具体的な修正方法
- 実際に悪用が確認されているかどうか（Bulletinには記載なし）
参考
更新作業を進める方へ
更新前に確認したいポイント（REST APIの公開範囲、管理者権限の棚卸し、更新後の動作確認など）や、2.1.24で一緒に修正された不具合との関係は、noteで詳しくまとめています。