IBM WebSphere Application Server Liberty: Zugriffskontroll-, Autorisierungs- und DoS-Schwachstellen (CVE-2026-93895, CVE-2026-95695, CVE-2026-95696)

Was passiert ist

CVE-2026-93895 ist die schwerwiegendste Schwachstelle; sie betrifft eine unzureichende Zugriffskontrolle. Ein nicht authentifizierter entfernter Angreifer kann betroffene Liberty-Server über das Netzwerk erreichen und die für gRPC-Servicemethoden konfigurierten Zugriffskontrollen umgehen und so möglicherweise ohne Anmeldedaten mit Servicefunktionen und Daten interagieren. IBM bewertet die Schwachstelle als kritisch mit einem CVSS-Wert von 9,1. Der Vektor lautet: netzwerkbasiert, geringe Komplexität, keine Berechtigungen und keine Benutzerinteraktion, hohe Auswirkungen auf Vertraulichkeit und Integrität.

CVE-2026-95695 ist eine separate Schwachstelle, die auf fehlerhafter Autorisierung beruht. Ein entfernter Angreifer kann Sicherheitsbeschränkungen ebenfalls ohne Anmeldedaten umgehen. Der CVSS-Wert liegt bei 7,4; der Angriff wird als hoch komplex eingestuft, und bei erfolgreicher Ausnutzung sind die Auswirkungen auf Vertraulichkeit und Integrität hoch.

CVE-2026-95696 ermöglicht es einem entfernten Angreifer, durch eine unbehandelte Ausnahme einen Denial-of-Service zu verursachen. Der CVSS-Wert beträgt 6,5; die Auswirkungen auf Vertraulichkeit und Verfügbarkeit sind gering. Für keine der drei Schwachstellen gibt es Berichte über eine Ausnutzung oder öffentliche Bekanntmachung; ein CISA-KEV-Eintrag liegt nicht vor.

Wer betroffen ist

Betroffen sind IBM WebSphere Application Server - Liberty Versionen 20.0.0.12 bis 26.0.0.10. Dabei handelt es sich um das Anwendungsserver-Produkt von IBM. Organisationen sollten jede aus dem Internet erreichbare Liberty-Instanz sowie jede Instanz, die von weniger vertrauenswürdigen internen Netzen aus erreichbar ist, als exponiert behandeln, da alle drei Schwachstellen ohne vorherige Authentifizierung aus der Ferne ausnutzbar sind.

Was jetzt zu tun ist

1. Spielen Sie den Fix von IBM ein. IBM hat zu diesem Sicherheitshinweis einen Fix veröffentlicht; das korrigierte Release ist über die IBM-Supportseite (Node 7292228) abrufbar. Die CVE-Datensätze nennen keine konkrete korrigierte Versionsnummer.
2. Schränken Sie bis zum vollständigen Einspielen der Sicherheitsupdates den Netzzugriff auf die gRPC-Endpunkte von Liberty so ein, dass nur vertrauenswürdige Clients sie erreichen können.
3. Überprüfen Sie die Konfiguration der Zugriffskontrolle und Autorisierung für gRPC-Servicemethoden in betroffenen Liberty-Bereitstellungen.
4. Überwachen Sie betroffene Instanzen auf unbehandelte Ausnahmen oder wiederholte Dienstunterbrechungen; dies kann auf eine versuchte Ausnutzung der Denial-of-Service-Schwachstelle hindeuten.

Wie man es erkennt

Die CVE-Datensätze enthalten keine vom Hersteller bereitgestellten Indikatoren für eine Kompromittierung. Beginnen Sie mit einer Bestandsaufnahme der WebSphere Application Server Liberty-Instanzen, deren gRPC-Endpunkte von nicht vertrauenswürdigen Netzen aus erreichbar sind, und überprüfen Sie die Zugriffskontrollen der Servicemethoden. Überwachen Sie betroffene Instanzen auf unbehandelte Ausnahmen oder wiederholte Dienstunterbrechungen.

Über den Patch hinaus

Hier handelt es sich um Schwachstellen, die ohne Anmeldedaten über das Netzwerk ausgenutzt werden können, und zwar auf einem Anwendungsserver. Das unmittelbare Problem ist daher die Exposition: Welche Liberty-Instanzen und gRPC-Endpunkte sind erreichbar – und von wo aus? Mit Virtual CISO Services (vCISO) unterstützen wir Sie dabei, diese Exposition zu erfassen und zu priorisieren. Mit Lieferkettenschutz & Drittparteirisiko lässt sich verfolgen, wie schnell ein Anbieter wie IBM Schwachstellen in Ihrer gesamten Umgebung schließt. Spielen Sie zuerst die Sicherheitsupdates ein; nutzen Sie anschließend dieselbe Transparenz, um den Angriffspfad für den nächsten Sicherheitshinweis einzuschränken.