IBM WebSphere Application Server Liberty: Deserialisierung nicht vertrauenswürdiger Daten im Batch
Zusammenfassung
IBM WebSphere Application Server Liberty in den Versionen 17.0.0.3 bis 26.0.0.10 ist betroffen, wenn das Feature batchManagement-1.0 aktiviert ist. Ein nicht authentifizierter Angreifer aus dem Netzwerk kann die Schwachstelle ohne Benutzerinteraktion ausnutzen und den persistierten Status von Batch-Job-Instanzen manipulieren. Laut IBM beschränkt sich die Auswirkung auf die Integrität (hoch) und die Verfügbarkeit (niedrig), ohne Auswirkung auf die Vertraulichkeit.
Betroffen
- IBM WebSphere Application Server Liberty 17.0.0.3 bis 26.0.0.10
- Relevant, wenn das Feature batchManagement-1.0 aktiviert ist
Behoben in
- Interim Fix, der APAR DT502467 behebt, angewendet auf dem minimal erforderlichen Fix-Pack-Level
- Liberty Fix Pack 26.0.0.11 oder neuer (gemäss IBM voraussichtliche Verfügbarkeit 4Q2026)
Umgehung
Von IBM nicht aufgeführt.
Ausnutzung
- Zum Zeitpunkt der Veröffentlichung ist keine öffentliche Ausnutzung bekannt.
- CISA-SSVC-Bewertung: Exploitation none, Automatable yes, Technical Impact partial.
Unsere Empfehlung
- Inventarisieren Sie alle Liberty-Server und deren Versionen und prüfen Sie, ob das Feature batchManagement-1.0 aktiviert ist.
- Priorisieren Sie aus dem Internet erreichbare Server und Server mit aktiviertem Batch-Management.
- Installieren Sie den Interim Fix für APAR DT502467 oder aktualisieren Sie auf Fix Pack 26.0.0.11 oder neuer, sobald verfügbar, und prüfen Sie das IBM-Bulletin auf den genauen Build.
- Deaktivieren Sie das Feature batchManagement-1.0, wo es nicht benötigt wird.
- Überwachen Sie das IBM-Bulletin, die NVD und den CISA KEV auf Änderungen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- IBM Security Bulletin for CVE-2026-93905 www.ibm.com
- VulnRichment entry for CVE-2026-93905 vulners.com
- CVE-2026-93905 at CVE.threatint.com cve.threatint.com
- CVE-2026-93905 at Strix www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 16:27.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.