IBM AIX 2026. 34. hét: 32 kritikus sérülékenység, köztük hitelesítést nem igénylő parancsvégrehajtás

A kiadás röviden

Az IBM 2026. 34. heti kiadása 144 CVE-t tartalmaz, valamennyi az AIX-et érinti. Súlyosság szerint 32 kritikus, 79 magas, 30 közepes és 3 alacsony besorolású. A CVE-k egyike sem szerepel a CISA KEV-katalógusában, és egyikről sem jelentették, hogy aktívan kihasználták volna. A legsúlyosabb tételek az AIX 7.2-t és 7.3-at érintik, több közülük a PowerVM VIOS 4.1-et is, ezért mind az AIX-, mind a VIOS-környezeteket át kell vizsgálni. A legsürgősebb tételek hitelesítést nem igénylő hálózati hibák, ezért az elsődleges döntési szempont az, hogy a rendszer elérhető-e a hálózatról. A legnagyobb figyelmet érdemlő AIX- és VIOS-CVE-khez az IBM kiadása a PowerVM VIOS alábbi javított verzióit sorolja fel: vios 4.1.0.50, vios 4.1.1.30 és vios 4.1.2.20. Az AIX-hez tartozó javított verziókat külön nem tüntetnek fel, ezért az AIX-frissítési szinteket a telepítés előtt egyeztetni kell az IBM-mel.

A legfontosabbak

A legsúlyosabb hibák az AIX 7.2/7.3-at és a PowerVM VIOS 4.1-et is érintik. Az elsőként átvizsgálandó, hitelesítést nem igénylő hálózati hibák a következők: a CVE-2026-16882 operációsrendszer-szintű parancsinjektálási hiba; a CVE-2026-17142 és a CVE-2026-16656 nem megfelelő hitelesítésből fakadó hibák, utóbbi root jogosultság megszerzését teszi lehetővé; valamint a CVE-2026-16834 egészszám-alulcsordulás, amely szolgáltatásmegtagadást okozhat. A hitelesítést nem igénylő, 9,8-as besorolású memóriasérülési hibák a CVE-2026-16840 (határon túli írás), a CVE-2026-16845 (heap-alapú puffertúlcsordulás), valamint a CVE-2026-16862, CVE-2026-16864 és CVE-2026-16872 verempuffer-túlcsordulások. Ezek azért kerülnek az első helyre, mert hálózaton keresztül elérhetők, nem igényelnek hitelesítő adatokat, és kritikus besorolásúak. Három további kritikus parancsinjektálási hiba, a CVE-2026-15068, a CVE-2026-16816 és a CVE-2026-18835, ugyanezeket a termékeket érinti, CVSS-pontszámuk 9,9. Kihasználásukhoz alacsony jogosultságú hitelesített hozzáférés szükséges, nem pedig hitelesítés nélküli hozzáférés; egy operációsrendszer-szintű parancsinjektálási hiba az AIX-en vagy a VIOS-on azonban akkor is komoly elszigetelési kockázatot jelent, ha a támadónak már csak korlátozott fiókja van. A kiadás többi része számos további kritikus és magas besorolású AIX-tételt tartalmaz, az IBM azonban ebben az összefoglalóban nem ismerteti mindegyiket külön-külön; az eljárást a termékek hálózati elérhetősége alapján érdemes folytatni.

Javítási sorrend

1. Először az internet felől elérhető AIX 7.2/7.3 és PowerVM VIOS 4.1 rendszereken telepítse a biztonsági javításokat. Helyezze előtérbe az alábbi, hitelesítést nem igénylő kritikus hibákat: CVE-2026-16882, CVE-2026-17142, CVE-2026-16656, CVE-2026-16834, CVE-2026-16840, CVE-2026-16845, CVE-2026-16862, CVE-2026-16864 és CVE-2026-16872. A PowerVM VIOS javított verziói: vios 4.1.0.50, vios 4.1.1.30 és vios 4.1.2.20. Az AIX-hez külön javított verziókat nem tüntetnek fel, ezért a javítások telepítése előtt egyeztesse az IBM-mel az AIX-frissítési szinteket.
2. Ezt követően kezelje a 9,9-es besorolású, hitelesített hozzáférést igénylő operációsrendszer-szintű parancsinjektálási hibákat: CVE-2026-15068, CVE-2026-16816 és CVE-2026-18835. Kihasználásukhoz csak alacsony jogosultságú hozzáférés szükséges, sikeres kihasználás esetén azonban tetszőleges operációs rendszer szintű parancsok futtathatók, ami széles körű hatással jár.
3. Vizsgálja felül a többi kritikus és magas besorolású AIX-tételt. A kiadás 32 kritikus és 79 magas besorolású CVE-t tartalmaz, ezért a biztonsági javításokat AIX service pack vagy interim fix szerint csoportosítsa, és helyezze előtérbe a nem megbízható hálózatokról vagy közös szolgáltatásokról elérhető rendszereket.
4. A közepes és alacsony besorolású tételeket a szokásos változáskezelési folyamatban kezelje. Ellenőrizze, hogy az egyes CVE-ket ugyanaz az AIX-frissítési csomag fedi-e le, vagy külön javításokat igényelnek-e, mivel a legfontosabb tételekhez csak a PowerVM VIOS javított verzióit sorolják fel.

A javításon túl

Egy ekkora méretű kiadás akkor válik kezelhetővé, ha a hálózati elérhetőséget már a javítási hét előtt ismerjük. A Virtuális CISO szolgáltatás segít azonosítani a nyilvánosságra hozott AIX- és VIOS-szolgáltatásokat, valamint azokat a nyitott portokat, amelyekre az olyan, hitelesítést nem igénylő hibák kihasználásához szükség van, mint a CVE-2026-16882 és a CVE-2026-17142. A Menedzselt kiberbiztonsági felügyelet a parancsvégrehajtást, a jogosultságszint-emelést és a rendellenes adminisztratív tevékenységet figyeli. A Bevezetési és felmérési szolgáltatások keretében ellenőrizhető, hogy az injektálási és hitelesítési gyengeségeket a kritikus buildekben megszüntették-e, mielőtt azokat az auditorok elé tárnák.