IBM Woche 38, September 2026: 74 CVEs – MQ- und Verify-Access-Schwachstellen an der Spitze

Das Release im Überblick

Die Sicherheitshinweise von IBM für Woche 38, veröffentlicht zwischen 14. und 20. September 2026, umfassen 74 CVEs. Die Verteilung der Schweregrade beträgt 6 kritische, 33 hohe, 32 mittlere und 3 niedrige. Keine der CVEs in dieser Veröffentlichung ist als aktiv ausgenutzt gekennzeichnet, und keine ist in CISA KEV enthalten. Die dringendsten Punkte betreffen vor allem die IBM-MQ-Familie, Verify Identity Access und Sterling File Gateway. Ein Heap-Pufferüberlauf, der ohne vorherige Authentifizierung ausgelöst werden kann, ist in der IBM MQ Appliance mit CVSS 10,0 bewertet. Weitere kritische Probleme umfassen Remotecodeausführung ohne Authentifizierung in IBM MQ, einen Pufferüberlauf in Verify Identity Access, eine Authentifizierungsumgehung in Sterling File Gateway und einen kritischen Heap-Unterlauf in IBM MQ for HPE NonStop. Für die wichtigsten CVEs hat IBM Korrekturen veröffentlicht.

Was am meisten zählt

Sehen Sie sich zuerst diese CVEs an.

IBM MQ Appliance: CVE-2026-10747 ist ein Heap-Pufferüberlauf bei der Verarbeitung von Protokollnachrichten vor der Authentifizierung. Ein entfernter Angreifer kann einen Denial-of-Service verursachen oder unter Umständen beliebigen Code ausführen. Der CVSS-3.1-Basiswert beträgt 10,0 (kritisch).

IBM MQ: CVE-2026-12351 ist Remotecodeausführung ohne Authentifizierung durch die unsichere Verarbeitung von JNDI-Lookups, wenn die IVT-Anwendung bereitgestellt ist (CVSS 9,8). CVE-2026-11725 ist ein Integer-Überlauf bei der Verarbeitung von MQINQ-Anforderungen; ein authentifizierter Angreifer kann einen Denial-of-Service verursachen oder unter Umständen beliebigen Code ausführen (CVSS 8,8). CVE-2026-12728 ist eine Schwachstelle bei der Deserialisierung von Java-Messaging, die ein authentifizierter Angreifer zur Ausführung beliebigen Codes nutzen kann (CVSS 8,8).

IBM MQ for HPE NonStop: CVE-2026-10858 ist ein Heap-Pufferunterlauf bei der Verarbeitung von Nachrichten mit mehreren Segmenten. Ein authentifizierter Angreifer kann einen Denial-of-Service verursachen oder unter Umständen Code ausführen (CVSS 9,9).

Verify Identity Access / Security Verify Access: CVE-2026-11928 ist ein Pufferüberlauf, der über das Netzwerk ohne vorherige Authentifizierung erreichbar ist (CVSS 9,8). CVE-2026-11921 betrifft Container, die Änderungen von Verwaltungspasswörtern unter Umständen nicht korrekt übernehmen (CVSS 9,1).

Sterling File Gateway: CVE-2026-75878 ist eine Authentifizierungsumgehung über einen nicht validierten SSO-Header; ein entfernter Angreifer kann eine vollständig authentifizierte Sitzung erlangen (CVSS 9,1).

In dieser Reihenfolge patchen

Spielen Sie Sicherheitsupdates in dieser Reihenfolge ein:

1. IBM MQ Appliance – CVE-2026-10747. Dieser Heap-Pufferüberlauf ohne vorherige Authentifizierung ist mit CVSS 10,0 bewertet. Behandeln Sie jede über das Netzwerk erreichbare MQ Appliance, insbesondere aus dem Internet erreichbare Geräte, als erste Maßnahme.
2. IBM MQ – CVE-2026-12351. Die Remotecodeausführung ohne Authentifizierung durch unsichere JNDI-Lookups betrifft Systeme, auf denen die IVT-Anwendung bereitgestellt ist. Prüfen Sie, ob IVT vorhanden ist, und spielen Sie für diese Systeme Sicherheitsupdates ein, bevor Sie andere MQ-Schwachstellen angehen.
3. Sterling File Gateway – CVE-2026-75878. Die Authentifizierungsumgehung über einen nicht validierten SSO-Header kann einem entfernten Angreifer eine vollständig authentifizierte Sitzung verschaffen. Spielen Sie Sicherheitsupdates für aus dem Internet erreichbare Dateiübertragungs-Gateways umgehend ein.
4. Verify Identity Access / Security Verify Access – CVE-2026-11928 und CVE-2026-11921. Der Pufferüberlauf ist ohne vorherige Authentifizierung erreichbar, und Container-Bereitstellungen übernehmen Passwortänderungen unter Umständen nicht korrekt. Behandeln Sie die Identitätsinfrastruktur frühzeitig.
5. IBM MQ for HPE NonStop – CVE-2026-10858 sowie IBM MQ CVE-2026-11725, CVE-2026-10575, CVE-2026-11375, CVE-2026-11378, CVE-2026-11381, CVE-2026-12728. Diese authentifizierten Schwachstellen mit hohem Schweregrad können zu einem Denial-of-Service oder zur Codeausführung führen. Arbeiten Sie diese nach den Schwachstellen ab, die ohne vorherige Authentifizierung ausnutzbar sind.
6. Die übrigen CVEs mit hohem, mittlerem und niedrigem Schweregrad in MQ, Verify Identity Access, Db2, WebSphere Application Server, QRadar, Sterling B2B Integrator, Secure Proxy und CICS TX Advanced. Spielen Sie sie im Rahmen des regulären Änderungsmanagements ein.

Über den Patch hinaus

Nächsten Monat sollten Sie die IBM-Wochen zu einer Überprüfung der Queue-Manager und der Identitätsinfrastruktur machen: Ermitteln Sie vor dem Wartungsfenster für Sicherheitsupdates, welche Instanzen von MQ Appliance, MQ, Verify Identity Access und Sterling File Gateway erreichbar sind und ob IVT bereitgestellt ist. Mit Virtual CISO Services (vCISO) unterstützen wir Sie dabei, diese Angriffsfläche zu erfassen und über das Netzwerk erreichbare Schwachstellen ohne vorherige Authentifizierung zu priorisieren. Mit Managed Detection and Response (MDR) lässt sich nach einer erfolgreichen Ausnutzung auf Codeausführung, Rechteausweitung oder den Missbrauch von Zugangsdaten achten.