IBM Security Verify Access: Remote Code Execution durch Schutzmechanismus-Fehler
Zusammenfassung
IBM Security Verify Access 10.0 bis 10.0.9.2 und IBM Verify Identity Access 11.0 bis 11.0.3, einschliesslich ihrer Container-Editionen, enthalten einen Fehler im Schutzmechanismus (CWE-693). Laut CVE-Eintrag kann ein entfernter Angreifer mit gültigen Zugangsdaten beliebigen Code ausführen. NVD stuft die Schwachstelle mit 8.8 (Hoch) ein, und CISA SSVC bewertet die technische Auswirkung als total. Für den Angriff ist eine Authentifizierung erforderlich, und zum Zeitpunkt der Recherche wurde keine bestätigte Ausnutzung festgestellt.
Betroffen
- IBM Security Verify Access 10.0 bis 10.0.9.2 (inklusive Container)
- IBM Verify Identity Access 11.0 bis 11.0.3 (inklusive Container)
Behoben in
- IBM Verify Identity Access 11.0.3.1
- IBM Security Verify Access 10.0.9.3
- Einige Sekundärquellen nennen 11.0.3.2 und 10.0.9.4. Die genaue korrigierte Version vor der Installation auf dem IBM-Bulletin bestätigen.
Umgehung
Unbekannt. Es wurde kein Workaround des Herstellers identifiziert. Das Einspielen von Patches ist die einzig bestätigte Massnahme.
Ausnutzung
- Eine bestätigte Ausnutzung in freier Wildbahn ist nicht bekannt.
- Ein Tracker führt die CVE nicht im CISA-KEV-Katalog. Dies direkt im KEV-Katalog prüfen.
- CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
- Es wurde kein öffentlicher Proof of Concept gefunden.
Unsere Empfehlung
- Die von IBM aufgeführten korrigierten Versionen in der nächsten Wartungsperiode einspielen, ohne auf einen regulären Zyklus zu warten.
- Prüfen, ob die Verwaltungsschnittstelle oder die Instanz aus dem Internet erreichbar ist, und den Zugriff einschränken.
- Administratorkonten prüfen, nicht benötigte Berechtigungen entfernen und starke Authentifizierung durchsetzen.
- Logs auf ungewöhnliche administrative Anmeldungen und unerwartete Codeausführung auf dem Appliance- oder Container-Host überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- IBM Security Bulletin (vendor advisory) www.ibm.com
- IBM Verify Identity Access v11.0.3 release notification www.ibm.com
- IBM Verify Identity Access v11.0.3 download www.ibm.com
- CVE mirror: CVE-2026-16916 cve.threatint.com
- Vulners: CVE-2026-16916 vulners.com
- Strix: CVE-2026-16916 www.strix.ai
- Cryptika: IBM patches Verify Access flaws www.cryptika.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 21:08.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.