IBM Security Verify Access: Argument-Injection ermöglicht unautorisierte Aktionen
Zusammenfassung
IBM Security Verify Access (10.0 bis 10.0.9.2) und IBM Verify Identity Access (11.0 bis 11.0.3), einschliesslich deren Container-Editionen, enthalten eine Argument-Injection-Schwachstelle (CWE-88). Ein entfernter Angreifer mit gültigen Zugangsdaten mit niedrigen Privilegien kann unautorisierte Aktionen mit hohen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit ausführen, ohne dass eine Benutzerinteraktion nötig ist. Die Schwachstelle ist Teil des IBM-Sicherheitsbulletins vom Oktober 2026, das 22 Probleme abdeckt, und die Quellen fanden keine bestätigte Ausnutzung.
Betroffen
- IBM Security Verify Access 10.0 bis 10.0.9.2 (Appliance und Container)
- IBM Verify Identity Access 11.0 bis 11.0.3 (Appliance und Container)
Behoben in
- IBM Verify Identity Access: v11.0.3.1 (gemäss CNA-Eintrag)
- IBM Security Verify Access: v10.0.9.3 (gemäss CNA-Eintrag)
- Das IBM-Bulletin nennt zusätzlich Download-Links für v11.0.3.2 und v10.0.9.4; die genaue Mindestversion ist in der Massnahmentabelle des Bulletins zu prüfen.
Umgehung
Unbekannt. Es wurde keine Workaround-Massnahme des Herstellers oder Dritter gefunden; IBM empfiehlt das Einspielen der Updates.
Ausnutzung
- CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
- In den geprüften Quellen ist keine Ausnutzung in freier Wildbahn bekannt; zum Zeitpunkt der Recherche nicht im CISA-KEV-Katalog aufgeführt.
- Kein öffentlicher Exploit oder PoC gefunden; EPSS 0.00351 (niedrig).
Unsere Empfehlung
- Produktnamen, Version und Bereitstellungsart (Appliance oder Container) bestätigen.
- Die IBM-Bulletin-Fixes für den betroffenen Zweig einspielen, zuerst die neueste Version, und die Mindestversion in der Massnahmentabelle von IBM prüfen.
- Zugriff auf administrative Verwaltungsoberflächen auf interne Netze beschränken.
- Konten mit Zugriff auf die Plattform prüfen und nicht benötigte entfernen.
- Audit-Logs überwachen und CISA KEV sowie das IBM-Bulletin auf Updates prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- IBM Security Bulletin www.ibm.com
- IBM Security Bulletin (Verify Identity Access 11) www.ibm.com
- VulDB CVE-2026-18740 vuldb.com
- Rapid7 via Vulners (EPSS) vulners.com
- Strix CVE-2026-18740 www.strix.ai
- Cyberupdates365: IBM Verify Access 22 vulnerabilities cyberupdates365.com
- IoT OT News: IBM patches 22 Verify Access flaws iototsecnews.jp
- OffSeq Radar CVE-2026-18740 radar.offseq.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 21:10.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.