IBM Security Verify Access: Remote Code Execution durch Deserialisierung
Zusammenfassung
IBM Security Verify Access 10.0 bis 10.0.9.2 sowie IBM Verify Identity Access 11.0 bis 11.0.3, einschliesslich ihrer Container-Ausgaben, deserialisieren unsichere Daten. Ein entfernter, nicht authentifizierter Angreifer kann präparierte Eingaben senden und beliebigen Code auf dem System ausführen, ohne dass eine Benutzerinteraktion nötig ist. Der CVSS-Wert beträgt 9.8 (kritisch), und aus dem Internet erreichbare Instanzen tragen das höchste Risiko.
Betroffen
- IBM Security Verify Access 10.0 bis 10.0.9.2 (Appliance und Container)
- IBM Verify Identity Access 11.0 bis 11.0.3 (Appliance und Container)
Behoben in
- IBM Verify Identity Access 11.0.3.1 (Appliance, gemäss IBM-Download-Liste im CVE-Eintrag)
- IBM Security Verify Access 10.0.9.3 (Appliance, gemäss IBM-Download-Liste im CVE-Eintrag)
- Container-Fixversion: Unbekannt.
- Hinweis: Einzelne Sekundärquellen nennen 11.0.3.2 und 10.0.9.4. Diese sind nicht bestätigt; bitte gegen das IBM-Bulletin prüfen.
Umgehung
Unbekannt. Es wurde keine vom Hersteller veröffentlichte Workaround-Massnahme gefunden.
- Nicht verifizierte Hinweise Dritter: Zugriff auf Management- und Service-Endpunkte auf vertrauenswürdige Netze beschränken und nicht benötigte Fernadministration bis zum Patch deaktivieren.
Ausnutzung
- Gemäss den geprüften Quellen ist keine Ausnutzung in freier Wildbahn bekannt.
- Es wurde kein öffentlicher Proof-of-Concept gefunden.
- CISA-SSVC-Bewertung: Exploitation none, automatable yes, technical impact total.
- Eine Aufnahme in den CISA-KEV-Katalog ist nicht verifiziert.
Unsere Empfehlung
- Installierte Version auf allen Appliance- und Container-Instanzen jetzt prüfen.
- Auf die im IBM-Bulletin genannte Fixversion patchen, zuvor die genaue Version bestätigen.
- Instanzen mit Internetzugriff priorisieren und Management-Zugriff bis zum Patch auf vertrauenswürdige Netze beschränken.
- Auf ungewöhnliche Anfragen, Deserialisierungsfehler und unerwartete ausgehende Verbindungen des Servers überwachen.
- CISA-KEV und das IBM-Bulletin erneut prüfen, da sich der Status geändert haben könnte.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- IBM Security Bulletin (CVE reference) www.ibm.com
- IBM Security Bulletin (Verify Identity Access 11) www.ibm.com
- The Hacker Wire: CVE-2026-78406 www.thehackerwire.com
- Strix AI: CVE-2026-78406 www.strix.ai
- SecurityOnline: IBM Verify Access vulnerabilities securityonline.info
- Cybersecurity News: IBM patches Verify Access flaw cybersecuritynews.com
- CyberUpdates365: IBM Verify Access vulnerabilities cyberupdates365.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 20:23.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.