美国网络安全与基础设施安全局（CISA）于 2026 年 11 月 9 日把 IBM Aspera Faspex 的授权绕过漏洞 CVE-2026-123218 列入已知被利用漏洞目录（KEV）。列入 KEV 意味着 CISA 已掌握该漏洞在野利用的证据。联邦机构的修复期限为 2026 年 11 月 12 日。这是 11 月 9 日 CISA 新增的四项 KEV 之一，其余三项（GPUStack、SSHhole、FreeSwitch）的指南此前已发技术手记。
一、漏洞是什么
CVE-2026-123218 属于授权不正确问题（CWE-863）。IBM 的描述是：Aspera Faspex 5 的一名已授权用户可以通过构造特定消息绕过用户授权，获得完整管理员权限。也就是说，利用的前提是攻击者已拥有一个可登录的账户，拿到账户之后可以把权限提升到管理员级别。
严重程度为 CVSS 9.8（CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H，IBM 评分），属严重级别。IBM 于 2026 年 11 月 7 日首次发布安全公告，11 月 9 日更新。CISA 在 KEV 条目中要求按厂商指引采取缓解措施，并满足 BOD 26-04 与取证分流要求；勒索软件关联情况为未知。
二、受影响范围
受影响版本：IBM Aspera Faspex 5.0.0 至 5.0.19（含 5.0.19）。
5.0.19 之前的 5.x 版本均在受影响范围内。IBM 公告明确写明无变通方法（Workarounds and Mitigations 一节为 None），升级是唯一的处理方式。
三、修复版本
修复版本：IBM Aspera Faspex 5.0.19 PL1（Linux 平台）。
IBM 建议立即升级。升级完成后，应核对 faspex-core 容器镜像为 5.0.19（1ce4b13，Fix Pack: 1），确认修复版本确实生效。
四、自查步骤
1. 确认版本：登录 Aspera Faspex 管理界面或检查 faspex-core 容器镜像版本。版本号在 5.0.0 至 5.0.19 之间、且未安装 PL1 的，均受影响，需要升级。
2. 确认暴露面：检查 Faspex 服务是否可从互联网直接访问。对外暴露的实例优先级最高。
3. 审查账户：由于利用需要已认证身份，重点审查有登录权限的账户，特别是外部协作方账户、访客类账户，以及近期新增或权限发生变更的管理员账户；收紧不必要的账户与权限。
4. 升级并核验：升级到 5.0.19 PL1，升级后再次核对 faspex-core 镜像版本为 5.0.19（1ce4b13，Fix Pack: 1）。
5. 回顾管理操作记录：检查近期的管理员操作日志，关注异常的权限变更、账户新建与管理配置改动；发现异常时按取证分流要求保留相关日志。
6. 无法及时升级时：CISA 对联邦机构的要求是，无缓解措施可用时应停用该产品。企业用户应按自身风险评估决定是否临时限制访问或暂停服务，不要拖到期限之后再处理。
五、需要注意的点
联邦修复期限 2026 年 11 月 12 日只有三天，是 KEV 中较短的期限，说明 CISA 对该漏洞的处置优先级很高。已部署 Aspera Faspex 5 的用户应把升级排在前面，不要只做账户审查而不升级——账户审查只能缩小暴露面，不能消除漏洞本身。
参考来源：CISA KEV 目录条目（CVE-2026-123218，2026-11-09 列入）、IBM 安全公告（https://www.ibm.com/support/pages/node/7295921）、NVD 漏洞记录（CVSS 9.8）。