# CISA dodała do katalogu KEV podatność w IBM Aspera Faspex, IBM udostępnił poprawkę

CISA dodała 9 listopada 2026 r. do katalogu KEV podatność CVE-2026-123218 w IBM Aspera Faspex 5.0.0 do 5.0.19, prowadzącą do uzyskania pełnych uprawnień administracyjnych. Termin CISA na wdrożenie środków minął 12 listopada 2026 r.

- Adres: <https://pelnomocnikcyber.pl/aktualnosci/ibm-aspera-faspex-kev-podatnosc/>
- Rodzaj: Streszczenie
- Data publikacji: 10.11.2026
- Kategoria: [Incydenty](https://pelnomocnikcyber.pl/kategorie/incydenty/)
- Redakcja: [Paweł Rosół](https://pelnomocnikcyber.pl/autor/pawel-rosol/)
- Źródło: [CISA Known Exploited Vulnerabilities](https://nvd.nist.gov/vuln/detail/CVE-2026-123218) (9 listopada 2026)
- Licencja: [CC BY 4.0](https://creativecommons.org/licenses/by/4.0/deed.pl)

CISA dodała 9 listopada 2026 r. do katalogu Known Exploited Vulnerabilities podatność CVE-2026-123218 w IBM Aspera Faspex. Dotyczy wersji od 5.0.0 do 5.0.19. Według IBM użytkownik z dostępem do systemu może przygotować specjalną wiadomość, obejść autoryzację i uzyskać pełne uprawnienia administracyjne. IBM opublikował biuletyn 7 listopada 2026 r. i ocenił podatność na 9,8 w skali CVSS.

Źródła różnią się w ocenie ryzyka. CISA i IBM opisują atakującego jako użytkownika uwierzytelnionego lub autoryzowanego, a jednocześnie wektor CVSS podany przez IBM zakłada brak wymaganych uprawnień. TheHackerWire pisze, że wpis w katalogu KEV potwierdza wykorzystanie podatności w atakach, a prawdopodobieństwo wykorzystania w ciągu 30 dni (EPSS) szacuje na 0,40 %. OpenCVE przy tym samym wpisie w KEV pisze o bardzo niskim prawdopodobieństwie wykorzystania. CISA zaznacza, że użycie w kampaniach ransomware jest nieznane, a TheHackerWire, że publiczny kod exploita nie został potwierdzony.

Jeśli używasz Faspex 5, sprawdź wersję. IBM wskazuje poprawkę **5.0.19 PL1** dla Linuksa i zaleca sprawdzić, czy obraz kontenera `faspex-core` ma wersję 5.0.19 (1ce4b13, Fix Pack: 1). Obejść IBM nie podaje. CISA wyznaczyła termin wdrożenia środków na 12 listopada 2026 r. i wskazuje, że ocena wystawienia każdego zasobu na internet należy do jego użytkownika.

## Źródła

- [CISA Known Exploited Vulnerabilities: IBM Aspera Faspex: IBM Aspera Faspex Incorrect Authorization Vulnerability (CVE-2026-123218)](https://nvd.nist.gov/vuln/detail/CVE-2026-123218)
- [The Hacker News: Critical Langflow Flaws Could Let Unauthenticated Attackers Run Code on Servers](https://thehackernews.com/2026/11/critical-langflow-flaws-could-let.html)
- [IBM Support: Security Bulletin: IBM Aspera Faspex has addressed a vulnerability that could allow authorization bypass](https://ibm.com/support/pages/node/7295921)
- [TheHackerWire: CVE-2026-123218: Incorrect Authorization - Analysis & Fix | TheHackerWire](https://www.thehackerwire.com/vulnerability/CVE-2026-123218/)
- [OpenCVE: CVE-2026-123218 - Vulnerability Details - OpenCVE](https://app.opencve.io/cve/CVE-2026-123218)

## Pojęcia w tym tekście

- [CISA](https://pelnomocnikcyber.pl/slownik/cisa/): Cybersecurity and Infrastructure Security Agency, amerykańska agencja ds. cyberbezpieczeństwa i infrastruktury. Prowadzi katalog KEV; nie jest organem w rozumieniu ustawy o KSC.
- [Podatność](https://pelnomocnikcyber.pl/slownik/podatnosc/): Słabość produktu lub usługi ICT, którą można wykorzystać do ataku. Znane podatności dostają identyfikatory CVE, a te wykorzystywane w atakach trafiają do katalogu KEV.
- [CVSS](https://pelnomocnikcyber.pl/slownik/cvss/): Common Vulnerability Scoring System: skala od 0 do 10 opisująca techniczną powagę podatności. Wynik nie mówi, czy podatność jest już wykorzystywana w atakach.
- [Katalog KEV](https://pelnomocnikcyber.pl/slownik/katalog-kev/): Known Exploited Vulnerabilities: prowadzona przez CISA lista podatności, o których wiadomo, że są wykorzystywane w atakach. Wpis do katalogu to sygnał, żeby łatać w pierwszej kolejności.
- [Ransomware](https://pelnomocnikcyber.pl/slownik/ransomware/): Złośliwe oprogramowanie, które szyfruje dane i żąda okupu za ich odszyfrowanie. Coraz częściej sprawcy także wykradają dane i grożą ich upublicznieniem.
- [Exploit](https://pelnomocnikcyber.pl/slownik/exploit/): Program, dane lub polecenia, które wykorzystują podatność w oprogramowaniu, żeby obejść zabezpieczenia systemu. Często jest pierwszym etapem szerszego ataku.

## Jak powstała ta wiadomość

Szkic tej wiadomości przygotował model językowy na podstawie źródeł zebranych 9 listopada 2026; tekst sprawdził i zatwierdził autor przed publikacją.