Pełnomocnik ds. cyberbezpieczeństwa
Szukaj

CISA dodała do katalogu KEV podatność w IBM Aspera Faspex, IBM udostępnił poprawkę

Rodzaj
Streszczenie
Data
Kategoria
Incydenty
Redakcja
Paweł Rosół
Źródło
CISA Known Exploited Vulnerabilities ()

CISA dodała 9 listopada 2026 r. do katalogu KEV podatność CVE-2026-123218 w IBM Aspera Faspex 5.0.0 do 5.0.19, prowadzącą do uzyskania pełnych uprawnień administracyjnych. Termin CISA na wdrożenie środków minął 12 listopada 2026 r.

CISACISA Cybersecurity and Infrastructure Security Agency, amerykańska agencja ds. cyberbezpieczeństwa i infrastruktury. Prowadzi katalog KEV; nie jest organem w rozumieniu ustawy o KSC. dodała 9 listopada 2026 r. do katalogu Known Exploited Vulnerabilities podatnośćPodatność Słabość produktu lub usługi ICT, którą można wykorzystać do ataku. Znane podatności dostają identyfikatory CVE, a te wykorzystywane w atakach trafiają do katalogu KEV. CVE-2026-123218 w IBM Aspera Faspex. Dotyczy wersji od 5.0.0 do 5.0.19. Według IBM użytkownik z dostępem do systemu może przygotować specjalną wiadomość, obejść autoryzację i uzyskać pełne uprawnienia administracyjne. IBM opublikował biuletyn 7 listopada 2026 r. i ocenił podatność na 9,8 w skali CVSSCVSS Common Vulnerability Scoring System: skala od 0 do 10 opisująca techniczną powagę podatności. Wynik nie mówi, czy podatność jest już wykorzystywana w atakach..

Źródła różnią się w ocenie ryzyka. CISA i IBM opisują atakującego jako użytkownika uwierzytelnionego lub autoryzowanego, a jednocześnie wektor CVSS podany przez IBM zakłada brak wymaganych uprawnień. TheHackerWire pisze, że wpis w katalogu KEVKatalog KEV Known Exploited Vulnerabilities: prowadzona przez CISA lista podatności, o których wiadomo, że są wykorzystywane w atakach. Wpis do katalogu to sygnał, żeby łatać w pierwszej kolejności. potwierdza wykorzystanie podatności w atakach, a prawdopodobieństwo wykorzystania w ciągu 30 dni (EPSS) szacuje na 0,40 %. OpenCVE przy tym samym wpisie w KEV pisze o bardzo niskim prawdopodobieństwie wykorzystania. CISA zaznacza, że użycie w kampaniach ransomwareRansomware Złośliwe oprogramowanie, które szyfruje dane i żąda okupu za ich odszyfrowanie. Coraz częściej sprawcy także wykradają dane i grożą ich upublicznieniem. jest nieznane, a TheHackerWire, że publiczny kod exploitaExploit Program, dane lub polecenia, które wykorzystują podatność w oprogramowaniu, żeby obejść zabezpieczenia systemu. Często jest pierwszym etapem szerszego ataku. nie został potwierdzony.

Jeśli używasz Faspex 5, sprawdź wersję. IBM wskazuje poprawkę 5.0.19 PL1 dla Linuksa i zaleca sprawdzić, czy obraz kontenera faspex-core ma wersję 5.0.19 (1ce4b13, Fix Pack: 1). Obejść IBM nie podaje. CISA wyznaczyła termin wdrożenia środków na 12 listopada 2026 r. i wskazuje, że ocena wystawienia każdego zasobu na internet należy do jego użytkownika.

Źródła

Pojęcia w tym tekście (6)
CISA
Cybersecurity and Infrastructure Security Agency, amerykańska agencja ds. cyberbezpieczeństwa i infrastruktury. Prowadzi katalog KEV; nie jest organem w rozumieniu ustawy o KSC.
Podatność
Słabość produktu lub usługi ICT, którą można wykorzystać do ataku. Znane podatności dostają identyfikatory CVE, a te wykorzystywane w atakach trafiają do katalogu KEV.
CVSS
Common Vulnerability Scoring System: skala od 0 do 10 opisująca techniczną powagę podatności. Wynik nie mówi, czy podatność jest już wykorzystywana w atakach.
Katalog KEV
Known Exploited Vulnerabilities: prowadzona przez CISA lista podatności, o których wiadomo, że są wykorzystywane w atakach. Wpis do katalogu to sygnał, żeby łatać w pierwszej kolejności.
Ransomware
Złośliwe oprogramowanie, które szyfruje dane i żąda okupu za ich odszyfrowanie. Coraz częściej sprawcy także wykradają dane i grożą ich upublicznieniem.
Exploit
Program, dane lub polecenia, które wykorzystują podatność w oprogramowaniu, żeby obejść zabezpieczenia systemu. Często jest pierwszym etapem szerszego ataku.

Szkic tej wiadomości przygotował model językowy na podstawie źródeł zebranych ; tekst sprawdził i zatwierdził autor przed publikacją.