CISA zaradila chybu IBM Aspera Faspex medzi aktívne zneužívané zraniteľnosti
CISA eviduje CVE-2026-123218 v IBM Aspera Faspex v katalógu KEV. IBM vydal opravu a neuvádza náhradnú mitigáciu.
Chyba IBM Aspera Faspex s označením CVE-2026-123218 bola 9. novembra 2026 zaradená do katalógu Known Exploited Vulnerabilities (KEV) agentúry CISA. Zápis znamená potvrdené zneužívanie vo voľnej prírode. IBM chybu hodnotí skóre CVSS 9,8 z 10 a odporúča nasadiť dostupnú opravu.
Ide o chybu nesprávnej autorizácie. Podľa IBM môže jej úspešné zneužitie viesť k obídeniu autorizácie a získaniu úplných administrátorských oprávnení.
Chyba IBM Aspera Faspex zasahuje verzie 5.0
IBM uvádza, že zasiahnuté sú verzie Aspera Faspex 5.0.0 až 5.0.19. Oprava je dostupná vo verzii 5.0.19 PL1 pre Linux. Prevádzkovatelia majú zároveň overiť, že používajú obraz kontajnera faspex-core vo verzii 5.0.19 s buildom 1ce4b13, označeným ako Fix Pack 1.
IBM pre CVE-2026-123218 neuvádza žiadne náhradné riešenie ani mitigáciu a odporúča nasadiť dostupnú opravu.
KEV potvrdzuje zneužívanie, nie podrobnosti útokov
CISA ani IBM nezverejnili technické detaily zneužitia, jeho rozsah, identitu útočníka ani konkrétne napadnuté organizácie. Nie je preto možné určiť, ktoré prostredia už boli kompromitované. Záznam CISA zároveň neoznačuje zraniteľnosť ako používanú v ransomvérových kampaniach.
Nejasnosť okolo požiadaviek na prístup
V dostupných informáciách je rozdiel v opise podmienok útoku. Popis CISA uvádza potrebu autentifikovaného používateľa. IBM však pri hodnotení CVSS použil metriku PR:N, teda stav bez požadovaných oprávnení. Prevádzkovatelia by mali podmienky útoku preveriť vo vlastnom nasadení a sledovať prípadné spresnenie od IBM.
Prioritou by malo byť zistenie používaných verzií, nasadenie verzie 5.0.19 PL1 na systémoch Linux a overenie verzie obrazu faspex-core v kontajnerových prostrediach. Zvýšenú pozornosť si zaslúžia najmä systémy dostupné z internetu, keďže IBM uvádza možnosť získania plných administrátorských oprávnení.
Ďalšie informácie môžu priniesť prípadné indikátory kompromitácie, forenzné odporúčania alebo technický rozbor útoku. Dôležité bude aj prípadné objasnenie rozporu medzi popisom autentifikácie a CVSS metrikou od IBM.
Zdroje
- CISA Known Exploited Vulnerabilities Catalog – Potvrdzuje zaradenie CVE-2026-123218 do KEV 9. novembra 2026, evidované zneužívanie a odporúčanie postupovať podľa pokynov dodávateľa.
- IBM Security Bulletin – Potvrdzuje zasiahnuté verzie, popis dopadu, hodnotenie CVSS 9.8, opravu 5.0.19 PL1 a absenciu workaroundu.
Overené a aktualizované: 10. 11. 2026 06:26
