はじめに

IBM Planning Analytics Local（以下、PA Local）のセキュリティ情報（Security Bulletin）が、2026年10月15日付で更新されています。CVSS 8.8の脆弱性を含み、PA Local 2.1.0〜2.1.23の修正先として2.1.24が案内されています。

この記事では、公式の文書から分かることを、運用担当者の目線で短く整理します。

本記事はIBM非公式の個人による整理です。対応の判断は、必ずIBMの原文とIBMサポートの案内にもとづいて行ってください。

要点

PA Local 2.1.0〜2.1.23は、2.1.24への更新が案内されています。回避策・緩和策は「なし（None）」です。
PA／TM1本体の脆弱性は9件あり、そのうち3件がCVSS 8.8です。
PA Cloudは、IBMにより対策済みとされています。
10月15日は文書の「最終更新日」です。変更履歴に書かれているのは10月7日の初回公開と10月8日のCVE情報の更新までで、15日に何が変わったかは書かれていません。

文書の基本情報

項目	内容
文書名	Security Bulletin: IBM Planning Analytics Local is affected by security vulnerabilities
文書ID	7291604
初回公開	2026年10月7日
変更履歴	2026年10月8日 Updated CVE details
最終更新日	2026年10月15日
影響対象	IBM Planning Analytics 2.0／2.1
修正	PA Local 2.1.0〜2.1.23 → 2.1.24（Fix Central）
回避策・緩和策	なし

PA／TM1本体の脆弱性（9件）

CVSSはIBMが記載した基本スコアです。「攻撃に必要な権限」はCVSSベクトルのPR（Privileges Required）の値です。

CVE	CVSS	攻撃に必要な権限	内容
CVE-2026-76587	8.8	低（PR:L）	TM1のC++ ODataエンジンにおけるスタックベースのバッファオーバーフロー。認証済みのREST経由で到達可能
CVE-2026-19620	8.8	低（PR:L）	不適切な認証処理により、管理者権限を不正に得られるおそれ
CVE-2026-19622	8.8	低（PR:L）	サブリクエストの検証不備による認証回避・権限昇格
CVE-2026-85457	8.1	低（PR:L）	スタックベースのバッファオーバーフローによる任意コード実行
CVE-2026-19627	8.1	不要（PR:N）	ファイルパスの検証不備。ホスト上の任意ファイルの読み取り、一部アプリケーションファイルの上書き
CVE-2026-75061	7.5	不要（PR:N）	ディレクトリトラバーサル（`/../`）による任意ファイルの書き込み
CVE-2026-17475	7.1	低（PR:L）	機能レベルのアクセス制御不備。他ユーザーのフォルダーやアプリケーションの削除
CVE-2026-18541	6.4	低（PR:L）	保存型XSS
CVE-2026-75063	5.4	低（PR:L）	出力エンコード不備によるXSS

補足が2つあります。

ログインなしで攻撃できると評価されたものが2件あります。 CVE-2026-19627とCVE-2026-75061は、攻撃に必要な権限が「不要（PR:N）」です。ネットワーク上で誰がサーバーに届くかが、リスクを大きく左右します。
PAWだけの話ではありません。 Bulletinの概要ではPAWコンポーネントの脆弱性とされていますが、CVE-2026-76587は「TM1のC++ ODataエンジン」、つまりTM1 Server側のREST APIに関わる記載です。

このほか、WebSphere Application Server／Liberty、Netty、Apache Shiro、Log4j Core、logback、jackson-databind、node-tar、DOMPurifyなど、製品に含まれるミドルウェア・ライブラリの脆弱性も載っています。

自分の環境のバージョンを確かめる

TM1 ServerのバージョンはREST APIで確認できます。

# <host>、<port>はTM1 ServerのHTTPPortNumberに合わせて変更
# 認証方式（基本認証／CAMなど）は環境に合わせてください
# -k は証明書の検証を省略します。正式な証明書を使っている環境では外してください
curl -k -u <user>:<password> \
  "https://<host>:<port>/api/v1/Configuration/ProductVersion"

返ってきたバージョンとビルドを、PAW・TM1 Web・PAfEのバージョンと一緒に記録しておくと、更新後の確認にも使えます。

バージョン別の判断

使っているもの	判断
PA Local 2.1.0〜2.1.23	2.1.24への更新を優先して検討する
PA Local 2.1.24	修正版として案内されている。TM1 Server・PAWなど各コンポーネントが2.1.24にそろっているか確認する
PA 2.0系	影響対象に載っているが、修正の案内は2.1系向けのみ。対応方針はIBMサポートに確認する
PA Cloud	IBMにより対策済み

公式情報だけでは分からないこと

10月15日の更新で、具体的に何が追加・変更されたか
各CVEが、TM1 Server／PAWのどのビルドで修正されているかの詳しい対応表
2.0系の具体的な修正方法
実際に悪用が確認されているかどうか（Bulletinには記載なし）

参考

更新作業を進める方へ

更新前に確認したいポイント（REST APIの公開範囲、管理者権限の棚卸し、更新後の動作確認など）や、2.1.24で一緒に修正された不具合との関係は、noteで詳しくまとめています。