IBM 2026. 42. heti biztonsági kiadása: 30 CVE, az élen a WebSphere Liberty és a Db2 Mirror for i kritikus hibáival

A kiadás röviden

Az IBM 2026. október 12. és 18. közötti hétre kiadott biztonsági csomagja 30 CVE-t tartalmaz a Db2, a Db2 Mirror for i, a Db2 Genius Hub, a DB2 Recovery Expert, a WebSphere Application Server és a WebSphere Application Server - Liberty termékekben. Súlyosság szerint a készlet 3 kritikus, 11 magas, 14 közepes és 2 alacsony besorolású hibát foglal magában. A 30 CVE egyike sem szerepel a CISA ismert, aktívan kihasznált sérülékenységeket rögzítő (Known Exploited Vulnerabilities, KEV) katalógusában, és az IBM közleményei egyik esetében sem jelzik aktív kihasználtságot. A kritikus hibák a Db2 Mirror for i és a WebSphere Application Server - Liberty termékeket érintik; magas súlyosságú problémák a Db2-t és a WebSphere Application Servert is érintik. A WebSphere Application Server - Liberty adja a CVE-k közül 13-at, a Db2 7-et, a DB2 Recovery Expert 4-et, a WebSphere Application Server 3-at, a Db2 Genius Hub 2-t, a Db2 Mirror for i pedig 1-et.

A legfontosabbak

Az első helyen a Db2 Mirror for i 7.4, 7.5 és 7.6 verzióját érintő CVE-2026-96012 áll, 9,9-es kritikus pontszámmal. Egy hitelesített támadó olyan rosszindulatú kérést állíthat össze, amely megkerüli a további jogosultság-ellenőrzési és bemenet-ellenőrzési lépéseket, így rosszindulatú kódot futtathat és magasabb jogosultságokat szerezhet; erről a sérülékenységről külön riasztás szól ezen a webhelyen.

A Db2 11.5.0-tól 11.5.9-ig, valamint 12.1.0-tól 12.1.5-ig tartó verzióiban a CVE-2026-105465 és a CVE-2026-105464 egyaránt helyi jogosultságszint-emelési hiba, 8,8-as magas pontszámmal. A CVE-2026-105465 kihasználásához a db2locssh szolgáltatásnak engedélyezve kell lennie a Db2-példányban, míg a CVE-2026-105464 lehetővé teszi, hogy egy DBADM jogosultsággal rendelkező helyi támadó magasabb jogosultságokat szerezzen.

A WebSphere Application Server - Liberty két kritikus hozzáférés-vezérlési problémát tartalmaz. A CVE-2026-93895 (9,1) lehetővé teszi, hogy egy hitelesítés nélküli távoli támadó megkerülje a gRPC-szolgáltatások metódusain beállított hozzáférés-vezérlési szabályokat; a hiba a Liberty 20.0.0.12-től 26.0.0.10-ig tartó verzióit érinti. A CVE-2026-93909 (9,1) hitelesítés-megkerülést tesz lehetővé, ha a samlWeb-2.0 funkció engedélyezett; a hiba a Liberty 17.0.0.3-től 26.0.0.10-ig tartó verzióit érinti. Szintén a Liberty 17.0.0.3-től 26.0.0.10-ig tartó verzióiban a CVE-2026-93905 (8,2) lehetővé teszi, hogy egy hitelesítés nélküli távoli támadó megrongálja a kötegelt feladatok példányainak tárolt állapotát. A CVE-2026-101294 (8,7) a kriptográfiai aláírás-ellenőrzés hiányát jelzi; a hiba a Liberty 17.0.0.3-től 26.0.0.10-ig tartó verzióit és a WebSphere Application Server 8.5-ös, valamint 9.0-s verzióját érinti.

A WebSphere Application Server 8.5-ös és 9.0-s verzióját a CVE-2026-93907 (8,1) is érinti; ez távoli hitelesítés-megkerülést tesz lehetővé a CSIv2 bejövő propagálási kezelőjén keresztül.

Javítási sorrend

1. Először a WebSphere Application Server - Liberty terméket javítsa, különösen az internet felől elérhető telepítéseknél. A CVE-2026-93895 és a CVE-2026-93909 kritikus, és a hálózaton keresztül hitelesítés nélkül elérhető; ha gRPC-t vagy samlWeb-2.0-t használ, ezeket helyezze előre. A CVE-2026-93905 szintén hitelesítés nélkül kihasználható, magas súlyosságú. Az IBM-hez már elérhetők a javítások; a biztonsági közlemények oldalai felsorolják a megfelelő javítócsomagokat.
2. Javítsa a Db2 Mirror for i 7.4, 7.5 és 7.6 verzióját a CVE-2026-96012, a kritikus jogosultságszint-emelési hiba miatt. Részesítse előnyben azokat a rendszereket, ahol sok hitelesített felhasználó lehet, vagy ahol az adatbázisréteg olyan alkalmazások felé van kitéve, amelyekben nem lehet teljes mértékben megbízni.
3. Javítsa a WebSphere Application Server 8.5 és 9.0 verzióját a CVE-2026-93907 és a CVE-2026-101294 miatt.
4. Javítsa a Db2 11.5 és 12.1 verziókat a CVE-2026-105465 és a CVE-2026-105464 miatt. Ezek helyi jogosultságszint-emelések, ezért a megosztott bejelentkezésekkel vagy széles helyi hozzáféréssel rendelkező hosztokat magasabb prioritással kezelje.
5. A fennmaradó magas és közepes CVE-ket a szokásos változáskezelési időablakban ütemezze, és részesítse előnyben a környezetében található, kívülről elérhető Db2 Genius Hub, DB2 Recovery Expert vagy WebSphere-összetevőket.

A javításon túl

A hat IBM-terméket érintő, 30 CVE-t hozó hét jobban kezelhető, ha a javítás előtt látja, mely rendszerek érhetők el ténylegesen, és milyen, emelt jogosultságot igénylő műveleteket kísérelnek meg. A Virtuális CISO szolgáltatás (vCISO) segít feltérképezni a kitett WebSphere, Db2 és Db2 Mirror for i szolgáltatásokat, a Menedzselt kiberbiztonsági felügyelet (MDR) pedig figyeli a jogosultságszint-emelést és a hozzáférés-vezérlési visszaéléseket, ha egy javítás késik.