IBM WebSphere Extreme Scale: CSP-Fehlkonfiguration ermöglicht XSS und Umgehung von Sicherheitsmaßnahmen (CVE-2026-101117)

Was passiert ist

IBM WebSphere Extreme Scale in den Versionen 8.6.1.0 bis 8.6.2.2 ist von einer fehlerhaft konfigurierten Content Security Policy betroffen. Der CVE-Eintrag klassifiziert diese Schwachstelle als CWE-16. Der CVSS-3.1-Vektor lautet AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N und ergibt einen Basiswert von 9,1. Praktisch bedeutet das: Ein entfernter Angreifer kann die betroffene Komponente über das Netzwerk erreichen, benötigt keine Anmeldedaten und es ist keine Benutzerinteraktion erforderlich. Bei erfolgreichem Ausnutzen werden Vertraulichkeit und Integrität kompromittiert, nicht aber die Verfügbarkeit.

IBM bezeichnet das Problem im Titel des CVE-Eintrags als Cross-Site-Scripting (XSS). Das weist darauf hin, dass die fehlerhaft konfigurierte Content Security Policy einem Angreifer ermöglichen kann, die Browser-Beschränkungen zu umgehen, die normalerweise die Ausführung von Skripten verhindern würden. Die Beschreibung im CVE-Eintrag stellt die Auswirkungen allgemeiner als Umgehung einer Sicherheitsbeschränkung dar. Dem CVE-Eintrag ist kein Hinweis darauf zu entnehmen, dass die Schwachstelle öffentlich bekannt gemacht oder ausgenutzt wurde, und der Katalog der bekannten ausgenutzten Schwachstellen von CISA führt diesen CVE nicht auf.

Wer betroffen ist

Die Versionen 8.6.1.0 bis 8.6.2.2 von IBM WebSphere Extreme Scale sind betroffen. Der CVE-Eintrag nennt keine weiteren betroffenen Produkte oder Versionen. Sofern Sie eine Instanz aus diesem Bereich betreiben, sollten Sie sie bis zu einer gegenteiligen Bestätigung durch IBM als anfällig einstufen.

Was jetzt zu tun ist

1. Stellen Sie fest, ob in Ihrer IT-Umgebung eine WebSphere-Extreme-Scale-Instanz mit einer Version von 8.6.1.0 bis 8.6.2.2 läuft.
2. Öffnen Sie die Supportseite von IBM zu diesem CVE, um die korrigierte Version zu ermitteln. Der CVE-Eintrag weist darauf hin, dass eine Korrektur verfügbar ist, nennt aber keine konkrete korrigierte Version; behandeln Sie daher den IBM-Sicherheitshinweis als maßgeblich.
3. Spielen Sie die Korrektur von IBM ein. Der CVSS-Wert von 9,1 gilt als kritisch; planen Sie das Einspielen mit dieser Dringlichkeit.
4. Wenn Sie die Sicherheitsupdates nicht sofort einspielen können, beschränken Sie den Netzwerkzugriff auf betroffene Instanzen auf vertrauenswürdige Hosts und überwachen Sie unerwartete administrative oder inhaltliche Änderungen. Im CVE-Eintrag sind keine Workarounds oder Schutzmaßnahmen veröffentlicht.

Über den Patch hinaus

Da diese Schwachstelle ohne Anmeldedaten über das Netzwerk erreichbar ist, lautet die erste Frage, ob Ihre WebSphere-Extreme-Scale-Instanzen für andere Systeme als vertrauenswürdige erreichbar sind. Mit Virtual CISO Services unterstützen wir Sie dabei, diese Angriffsfläche zu finden und zu schließen. Auf der Lieferkettenseite hängt Ihr Zeitfenster für das Einspielen von Sicherheitsupdates vom Release-Zyklus von IBM und davon ab, wie gut Sie nachvollziehen können, welche Software welcher Anbieter bei Ihnen im Einsatz ist. Mit Lieferkettenschutz und Drittparteienrisiko lassen sich diese Abhängigkeiten verfolgen, damit Ihre Gefährdung gemessen und nicht nur angenommen wird.