IBM отстрани 22 уязвимости във Verify Identity Access и Security Verify Access, включително две критични слабости, позволяващи отдалечено изпълнение на код без автентикация както при физически и виртуални устройства (appliances), така и при контейнерни внедрявания.

Най-сериозните грешки, CVE-2026-78401 и CVE-2026-78406, имат CVSS рейтинг от 9.8. И двете са свързани с десериализация на ненадеждни данни – процес, при който софтуерът възстановява съхранени или предавани данни в обекти, без да провери правилно дали те са безопасни.

Публично обявеният бюлетин за сигурност за CVE-2026-78401 потвърждава риска от отдалечено изпълнение на код без удостоверяване. IBM класифицира и двата проблема с десериализация като достъпни през мрежата атаки с ниска сложност, без необходимост от привилегии и без намеса на потребителя.

Успешната експлоатация би могла сериозно да засегне поверителността на данните, целостта и наличността на услугите. Предоставеният бюлетин обаче не посочва уязвимите крайни точки, не описва верига за експлоатация и не съобщава за потвърдени атаки.

Тези критични пропуски изискват повишено внимание, тъй като нападателите нямат нужда от валиден акаунт, за да достигнат до уязвимия код. Тяхната тежест отразява потенциалното въздействие и лекотата на атаката, а не доказателства, че експлоатация вече е извършена.

IBM отстранява 22 уязвимости във Verify Access

Още три уязвимости са с оценка 9.1. CVE-2026-16916 позволява на автентикиран отдалечен атакуващ с високи привилегии да изпълни произволен код поради срив в защитен механизъм.

CVE-2026-16823 позволява на атакуващите да заобиколят ограниченията за сигурност, докато CVE-2026-19491 позволява заобикаляне на автентикацията. За разлика от грешките при десериализация, тези проблеми изискват различен достъп и водят до различни последици.

Актуализацията следва по-ранни уязвимости в IBM Identity и Verify Access, съобщени от Cyber Security News, обхващащи контрабанда на заявки (request smuggling), ескалация на привилегии и други слабости в сигурността от същото продуктово семейство. Не бъркайте тези предишни корекции с октомврийския пакет от корекции за сигурност.

Бюлетинът разглежда също така CVE-2026-18740 и CVE-2026-19482, и двете оценени с 8.8. Тези грешки от тип инжектиране на аргументи (argument injection) позволяват на автентикирани отдалечени атакуващи да извършват неупълномощени действия или да изпълняват произволни команди. CVE-2026-19493, оценена със 7.5, позволява на отдалечен атакуващ да записва файлове чрез обхождане на директории (path traversal).

Други уязвимости включват междусайтово скриптиране (cross-site scripting), което би могло да разкрие идентификационни данни в рамките на доверени сесии, SQL инжекция, която може да модифицира данни или да наруши услугите, и фалшифициране на междусайтови заявки (cross-site request forgery), способно да задейства неупълномощени действия.

Допълнителните корекции за сигурност адресират фалшифициране на одитни логове, неправилни проверки за оторизация, заобикаляне на процеса по автентикация и изтичане на информация в Snapshot Manager Container. Няколко уязвимости от тип отказ на услуга (denial-of-service) засягат заделянето на ресурси, рекурсивната обработка и четенето на памет.

IBM коригира и проблем със запис в стековия буфер, който изисква административни привилегии и достъп до локалния интерфейс за управление. Предишни публикации за изпълнение на команди в IBM Security Verify предоставят свързан контекст относно по-рано отстранени уязвимости в устройствата.

Засегнатите версии включват IBM Security Verify Access и неговото издание за контейнери от 10.0 до 10.0.9.2. IBM Verify Identity Access и неговата контейнерна версия са засегнати от 11.0 до 11.0.3.

IBM насочва клиентите, използващи устройства, да инсталират Verify Identity Access 11.0.3.1 или Security Verify Access 10.0.9.3 чрез връзките за изтегляне във Fix Central.

Потребителите на контейнери трябва да следват указанията на IBM за изтегляне на контейнери, които посочват продуктовите изображения и местоположенията в регистрите. IBM преименува Security Verify Access на Verify Identity Access, започвайки от версия 11.0.0.

Бюлетинът не посочва временни обходни решения или мерки за смекчаване. IBM призовава клиентите да актуализират своевременно, като в бюлетина предоставените корекции са посочени като официалното решение за отстраняване на тези уязвимости във всички засегнати и поддържани внедрявания.