IBM 38. hét, 2026. szeptember: az MQ és a Verify Access hibái állnak a 74 CVE-t tartalmazó csomag élén

A kiadás röviden

Az IBM 38. heti biztonsági közleménycsomagját 2026. szeptember 14. és 20. között tették közzé, és 74 CVE-t tartalmaz. A súlyosság szerinti eloszlás: 6 kritikus, 33 magas, 32 közepes és 3 alacsony. Ebben a csomagban egyetlen CVE-t sem jelöltek kihasználtként, és egyik sem szerepel a CISA KEV listáján. A legsürgősebb elemek az IBM MQ család, a Verify Identity Access és a Sterling File Gateway köré csoportosulnak. Az IBM MQ Appliance egyik hitelesítés előtti heap-alapú puffertúlcsordulása CVSS 10,0 besorolást kapott. A további kritikus hibák közé tartozik a hitelesítést nem igénylő távoli kódfuttatás az IBM MQ-ban, egy puffertúlcsordulás a Verify Identity Accessben, egy hitelesítés-megkerülés a Sterling File Gatewayben, valamint egy kritikus heap-alulcsordulás az MQ for HPE NonStop esetében. Az IBM a legfontosabb CVE-khez javításokat tett közzé.

A legfontosabbak

Először ezeket a CVE-ket tekintse át.

IBM MQ Appliance: a CVE-2026-10747 heap-alapú puffertúlcsordulás a protokollüzenetek hitelesítés előtti feldolgozásában. Egy távoli támadó szolgáltatásmegtagadást okozhat, vagy adott esetben tetszőleges kódot futtathat. A CVSS 3.1 szerinti alappontszám: 10,0, kritikus.

IBM MQ: a CVE-2026-12351 hitelesítést nem igénylő távoli kódfuttatást tesz lehetővé a nem biztonságos JNDI-keresés feldolgozásán keresztül, ha az IVT alkalmazást telepítették (CVSS 9,8). A CVE-2026-11725 egészszám-túlcsordulás az MQINQ-kérések feldolgozásában; egy hitelesített támadó szolgáltatásmegtagadást okozhat, vagy adott esetben tetszőleges kódot futtathat (CVSS 8,8). A CVE-2026-12728 a Java-üzenetküldés deszerializációs hibája, amelyet hitelesített támadó tetszőleges kód futtatására használhat (CVSS 8,8).

IBM MQ for HPE NonStop: a CVE-2026-10858 heap-alapú pufferalulcsordulás a többszegmenses üzenetek feldolgozásakor. Egy hitelesített támadó szolgáltatásmegtagadást okozhat, vagy adott esetben kódot futtathat (CVSS 9,9).

Verify Identity Access / Security Verify Access: a CVE-2026-11928 a hálózaton keresztül, hitelesítés nélkül elérhető puffertúlcsordulás (CVSS 9,8). A CVE-2026-11921 olyan konténereket érint, amelyek egyes esetekben nem megfelelően hajtják végre a felügyeleti jelszó módosítási műveleteit (CVSS 9,1).

Sterling File Gateway: a CVE-2026-75878 hitelesítés-megkerülés egy nem ellenőrzött SSO-fejlécen keresztül; egy távoli támadó teljesen hitelesített munkamenetet szerezhet (CVSS 9,1).

Javítási sorrend

A javításokat az alábbi sorrendben telepítse:

1. IBM MQ Appliance — CVE-2026-10747. Ez a hitelesítés előtti heap-alapú puffertúlcsordulás CVSS 10,0 besorolást kapott. Minden hálózaton elérhető MQ Appliance eszközt, különösen az internet felől elérhetőket, első intézkedésként kezelje.

1. IBM MQ — CVE-2026-12351. A nem biztonságos JNDI-keresésen keresztül megvalósuló, hitelesítést nem igénylő távoli kódfuttatás akkor érvényes, ha az IVT alkalmazást telepítették. Ellenőrizze, hogy az IVT telepítve van-e, és az ilyen rendszereket előbb javítsa, mint az egyéb MQ-elemeket.

1. Sterling File Gateway — CVE-2026-75878. A nem ellenőrzött SSO-fejlécen keresztüli hitelesítés-megkerülés révén egy távoli támadó teljesen hitelesített munkamenetet szerezhet. Az internet felől elérhető fájlátviteli átjárókat haladéktalanul javítsa.

1. Verify Identity Access / Security Verify Access — CVE-2026-11928 és CVE-2026-11921. A puffertúlcsordulás hitelesítés nélkül érhető el, a konténeres telepítések pedig egyes esetekben nem megfelelően hajtják végre a jelszómódosításokat. Az identitás-infrastruktúra kezelését korán kezdje meg.

1. IBM MQ for HPE NonStop — CVE-2026-10858, valamint az IBM MQ CVE-2026-11725, CVE-2026-10575, CVE-2026-11375, CVE-2026-11378, CVE-2026-11381, CVE-2026-12728 azonosítói. Ezek a hitelesítést igénylő, magas súlyosságú hibák szolgáltatásmegtagadáshoz vagy kódfuttatáshoz vezethetnek. A hitelesítést nem igénylő hibák után ezekkel foglalkozzon.

1. A fennmaradó magas, közepes és alacsony besorolású CVE-k a következő termékeket érintik: MQ, Verify Identity Access, Db2, WebSphere Application Server, QRadar, Sterling B2B Integrator, Secure Proxy és CICS TX Advanced. Ezeket a szokásos változáskezelés keretében alkalmazza.

A javításon túl

A jövő hónapban az IBM heti közleményei kapcsán vizsgálja felül az üzenetsor-kezelőket és az identitás-infrastruktúrát: még a javításokra kijelölt időablak előtt azonosítsa, mely MQ Appliance, MQ, Verify Identity Access és Sterling File Gateway példányok érhetők el, és hogy az IVT telepítve van-e. A Virtuális CISO szolgáltatás (vCISO) segíthet feltérképezni ezt a kitettséget és rangsorolni a hálózaton elérhető, hitelesítést nem igénylő hibákat, míg a Menedzselt kiberbiztonsági felügyelet (MDR) a sikeres kihasználást követő kódfuttatást, jogosultságszint-emelést vagy hitelesítőadat-visszaélést figyelheti.