Przejdź do treści
Alerty bezpieczeństwa 9 min czytania

IBM API Connect: 47 krytycznych podatności (CVE-2026-17360 i inne) — RCE, SQLi, obejście uwierzytelnienia

IBM załatał 47 krytycznych luk w API Connect: zahardkodowane dane logowania, RCE, SQL i command injection, SSRF/XXE oraz przełamanie izolacji tenantów. Aktualizacja do 10.0.8.13 lub 12.1.1.3...

Marcin Godula Marcin Godula

Podsumowanie

ParametrWartość
CVE IDCVE-2026-17360 (+ 46 innych CVE, lista poniżej)
Źródło alertuGitHub Advisory - Krytyczna podatność
Rok publikacji CVE2026
Data publikacji2026-11-07
ProducentIBM
ProduktAPI Connect
CVSS Score9.8 (Krytyczny); cały pakiet: 9.0–9.9
EPSS ScoreBrak danych
CISA KEVNie
RansomwareNie potwierdzono

Opis podatności

Źródło: NVD, biuletyny IBM z 5 listopada 2026 r.

IBM opublikował dwa biuletyny „Multiple Vulnerabilities in IBM API Connect” — dla gałęzi V12 (12.1.0.0–12.1.1.2) i V10 (10.0.8.0–10.0.8.12). Łącznie obejmują one ponad sto identyfikatorów CVE; ten alert opisuje 47 podatności o ocenie CVSS 9.0–9.9. 26 z nich dotyczy obu gałęzi, pozostałe 21 — tylko gałęzi 12.1. Główna luka, CVE-2026-17360 (CVSS 9.8), to zahardkodowane dane logowania w API Connect 12.1.0.0–12.1.1.2, które pozwalają zdalnemu atakującemu uzyskać pełną kontrolę administracyjną; ten sam typ błędu w gałęzi 10.0.8 ma numer CVE-2026-17403 (CVSS 9.0).

Luki układają się w cztery grupy:

  • Zdalne wykonanie kodu i wstrzyknięcia (16 CVE) — OS command injection (CVE-2026-17408 bez uwierzytelnienia, CVE-2026-17402), wstrzyknięcie kodu (CVE-2026-17359, -17342), path traversal prowadzący do wykonania kodu lub zapisu plików (m.in. CVE-2026-17340 bez uwierzytelnienia), wgrywanie niezweryfikowanych treści i modułów (CVE-2026-17399, -17150) oraz SQL injection (CVE-2026-17134, -17132, -17336, -17396).
  • Obejście uwierzytelnienia i zahardkodowane dane logowania (10 CVE) — poza CVE-2026-17360/-17403 m.in. błędna weryfikacja podpisu kryptograficznego pozwalająca obejść uwierzytelnienie bez logowania (CVE-2026-17301), obejście alternatywną ścieżką z przejęciem konfiguracji gatewaya (CVE-2026-17313), przejmowanie tokenów dostępu innych użytkowników (CVE-2026-16720) i przejęcie konta przez open redirect przy logowaniu (CVE-2026-17297).
  • SSRF i XXE (10 CVE) — wymuszanie przez serwer żądań do sieci wewnętrznej i niezamierzonych adresów (m.in. CVE-2026-16918, CVE-2026-17344 w usłudze dostępnej bez uwierzytelnienia), XXE (CVE-2026-16884) oraz odczyt plików przez odwołania zewnętrzne w przesyłanych definicjach (CVE-2026-17299).
  • Przełamanie izolacji tenantów i autoryzacji (10 CVE) — tworzenie, modyfikacja i usuwanie tenantów bez autoryzacji (CVE-2026-17362), dostęp administracyjny do innych tenantów przez LDAP injection (CVE-2026-17392), przejmowanie innych organizacji (CVE-2026-17292), odczyt i modyfikacja danych oraz portali innych tenantów (m.in. CVE-2026-17049, -17066, -17410, -17339).

Dodatkowo CVE-2026-18535 (CVSS 9.6) to podatność na ReDoS i nieneutralizowane operatory wieloznaczne w zapytaniach.

API Connect zarządza publikacją API, ich katalogiem, portalem deweloperskim i konfiguracją gatewaya — przejęcie platformy daje atakującemu wgląd w integracje firmy, klucze i dane przepływające przez API, a w instalacjach wielodostępnych także dostęp do danych innych tenantów.

Pełna lista CVE

CVECVSSGrupaTyp i skutekGałęzie
CVE-2026-173609.8Uwierzytelnianiezahardkodowane dane logowania — pełna kontrola administracyjnatylko 12.1
CVE-2026-174039.0Uwierzytelnianiezahardkodowane dane logowania — pełna kontrola administracyjna10.0.8 + 12.1
CVE-2026-173019.8Uwierzytelnianiebłędna weryfikacja podpisu kryptograficznego — obejście uwierzytelnienia bez logowania10.0.8 + 12.1
CVE-2026-173139.8Uwierzytelnianieobejście uwierzytelnienia alternatywną ścieżką — przejęcie konfiguracji gatewayatylko 12.1
CVE-2026-167209.8Uwierzytelnianieniewystarczające uwierzytelnianie wobec usługi katalogowej — tokeny dostępu innych użytkowników10.0.8 + 12.1
CVE-2026-172789.8Uwierzytelnianiepodszycie się pod zaufaną stronę — dostęp do katalogu API i konfiguracji runtimetylko 12.1
CVE-2026-171589.9Uwierzytelnianieniewłaściwe uwierzytelnianie — podniesienie uprawnień10.0.8 + 12.1
CVE-2026-188389.4Uwierzytelnianiepodszycie się pod innego użytkownika — modyfikacja konfiguracji APItylko 12.1
CVE-2026-172979.6Uwierzytelnianieopen redirect przy logowaniu — przejęcie konta10.0.8 + 12.1
CVE-2026-174099.4Uwierzytelnianieniespójna obsługa wielkości liter — obejście kontroli dostępu, operacje administracyjne10.0.8 + 12.1
CVE-2026-174089.8RCE / wstrzyknięciaOS command injection — wykonanie kodu bez uwierzytelnienia10.0.8 + 12.1
CVE-2026-173409.8RCE / wstrzyknięciapath traversal — wykonanie kodu bez uwierzytelnieniatylko 12.1
CVE-2026-174029.9RCE / wstrzyknięciaOS command injection — wykonanie poleceń na hoście10.0.8 + 12.1
CVE-2026-173599.9RCE / wstrzyknięciawstrzyknięcie kodu (CWE-94) — wykonanie kodu10.0.8 + 12.1
CVE-2026-173429.9RCE / wstrzyknięciawstrzyknięcie kodu (CWE-94) — wykonanie kodu10.0.8 + 12.1
CVE-2026-173999.9RCE / wstrzyknięcianiewystarczająca walidacja wgrywanych treści — wykonanie kodu10.0.8 + 12.1
CVE-2026-171509.9RCE / wstrzyknięciawgrywanie modułów niestandardowych — wykonanie kodu i dostęp do innych tenantów10.0.8 + 12.1
CVE-2026-171179.9RCE / wstrzyknięcianiekontrolowana modyfikacja atrybutów obiektu — wykonanie kodu10.0.8 + 12.1
CVE-2026-172399.9RCE / wstrzyknięciapath traversal — wykonanie kodutylko 12.1
CVE-2026-171479.9RCE / wstrzyknięciapath traversal — wykonanie kodu i operacje administracyjne10.0.8 + 12.1
CVE-2026-173549.9RCE / wstrzyknięciapath traversal — dowolny zapis plikówtylko 12.1
CVE-2026-171349.9RCE / wstrzyknięciaSQL injection — wykonanie dowolnych poleceń SQLtylko 12.1
CVE-2026-171329.9RCE / wstrzyknięciaSQL injection — wykonanie dowolnych poleceń SQLtylko 12.1
CVE-2026-173369.9RCE / wstrzyknięciaSQL injection — wykonanie dowolnych poleceń SQLtylko 12.1
CVE-2026-173969.6RCE / wstrzyknięciaSQL injection — ujawnienie informacji10.0.8 + 12.1
CVE-2026-171469.9RCE / wstrzyknięciawykonanie JavaScript (CWE-79) — ujawnienie informacji10.0.8 + 12.1
CVE-2026-168849.9SSRF / XXEXXE — ujawnienie informacjitylko 12.1
CVE-2026-172999.6SSRF / XXEodwołania zewnętrzne w definicjach — odczyt plików i SSRF10.0.8 + 12.1
CVE-2026-172989.9SSRF / XXESSRF — ujawnienie informacji10.0.8 + 12.1
CVE-2026-172969.6SSRF / XXESSRF — ujawnienie informacji10.0.8 + 12.1
CVE-2026-173539.6SSRF / XXESSRF — ujawnienie informacji, obejście ograniczeńtylko 12.1
CVE-2026-169189.3SSRF / XXESSRF — dostęp do zasobów sieci wewnętrznej10.0.8 + 12.1
CVE-2026-171319.3SSRF / XXESSRF — obejście ograniczeń ruchu wychodzącegotylko 12.1
CVE-2026-173449.3SSRF / XXESSRF w usłudze dostępnej bez uwierzytelnieniatylko 12.1
CVE-2026-173299.3SSRF / XXEbrak walidacji URL endpointów (SSRF)tylko 12.1
CVE-2026-188369.3SSRF / XXESSRF — ujawnienie informacji10.0.8 + 12.1
CVE-2026-173629.8Izolacja tenantów / autoryzacjabrak autoryzacji — tworzenie, modyfikacja i usuwanie tenantówtylko 12.1
CVE-2026-173929.9Izolacja tenantów / autoryzacjaLDAP injection — dostęp administracyjny do innych tenantów10.0.8 + 12.1
CVE-2026-174109.9Izolacja tenantów / autoryzacjawstrzyknięcie argumentów — dane portalu innych tenantów10.0.8 + 12.1
CVE-2026-170499.9Izolacja tenantów / autoryzacjaobejście autoryzacji kluczami użytkownika — odczyt i modyfikacja dokumentówtylko 12.1
CVE-2026-169209.9Izolacja tenantów / autoryzacjaconfused deputy — obejście ograniczeń bezpieczeństwatylko 12.1
CVE-2026-173949.6Izolacja tenantów / autoryzacjamodyfikacja atrybutów obiektu — zmiana ustawień dostępu10.0.8 + 12.1
CVE-2026-170669.1Izolacja tenantów / autoryzacjabrak autoryzacji — dane innych tenantówtylko 12.1
CVE-2026-173399.1Izolacja tenantów / autoryzacjapath traversal — zasoby innych tenantówtylko 12.1
CVE-2026-172929.1Izolacja tenantów / autoryzacjaBOLA — przejęcie innych organizacji10.0.8 + 12.1
CVE-2026-173389.1Izolacja tenantów / autoryzacjaBOLA — ujawnienie informacjitylko 12.1
CVE-2026-185359.6InneReDoS i nieneutralizowane operatory wieloznaczne w zapytaniach10.0.8 + 12.1

Wymagane działania

  1. Zaktualizuj IBM API Connect zgodnie z biuletynami IBM:
    • API Connect V10 (10.0.8.0–10.0.8.12) → 10.0.8.13,
    • API Connect V12 OnPrem (12.1.0.0–12.1.1.2) → 12.1.1.3. Pakiety są dostępne w IBM Fix Central (linki w biuletynach). IBM nie podaje obejść ani środków tymczasowych.
  2. Do czasu aktualizacji ogranicz dostęp do interfejsów zarządzania (Cloud Manager, API Manager), portalu deweloperskiego i API administracyjnych gatewaya do sieci administracyjnej i zaufanych adresów — kilka luk (m.in. CVE-2026-17360, -17301, -17340, -17408) nie wymaga uwierzytelnienia.
  3. Po aktualizacji przejrzyj konta administracyjne, tenantów i organizacje pod kątem nieoczekiwanych zmian, sprawdź logi pod kątem nietypowych logowań administracyjnych oraz rozważ rotację kluczy, sekretów i tokenów używanych przez API Connect i podłączone backendy.
  4. Ogranicz ruch wychodzący z komponentów API Connect do niezbędnych adresów — zmniejsza to skutki luk SSRF.

Kogo dotyczy?

Podatności dotyczą organizacji, które samodzielnie utrzymują IBM API Connect firmy IBM w wersjach 10.0.8.0–10.0.8.12 lub 12.1.0.0–12.1.1.2 (biuletyn V12 wymienia produkt „API Connect V12 OnPrem”) — platformy używanej do publikowania API dla partnerów, klientów i aplikacji mobilnych. Najbardziej narażone są instalacje z portalem deweloperskim lub interfejsami zarządzania dostępnymi z internetu oraz środowiska wielodostępne (wiele organizacji lub tenantów na jednej platformie).

Źródła

Potrzebujesz wsparcia w zabezpieczeniu systemów? Zespół nFlo oferuje usługi zarządzania podatnościami oraz SOC 24/7. Skontaktuj się z nami.

Najczęściej zadawane pytania

Czym jest CVE-2026-17360 w IBM API Connect?

To użycie zahardkodowanych danych logowania (CWE-798) w IBM API Connect 12.1.0.0–12.1.1.2, które pozwala zdalnemu atakującemu bez uwierzytelnienia uzyskać pełną kontrolę administracyjną (CVSS 9.8). Ten sam typ luki w gałęzi 10.0.8 ma identyfikator CVE-2026-17403 (CVSS 9.0). Oba identyfikatory należą do pakietu 47 krytycznych podatności opisanych w biuletynach IBM z 5 listopada 2026 r.

Które wersje IBM API Connect usuwają te podatności?

Według biuletynów IBM: gałąź V10 (10.0.8.0–10.0.8.12) należy zaktualizować do 10.0.8.13, a gałąź V12 (12.1.0.0–12.1.1.2) do 12.1.1.3. IBM nie podaje obejść ani środków tymczasowych.

Dowiedz się więcej

Tagi:

critical ibm api-connect api-gateway api-security multi-tenant podatnosc

Udostępnij:

Porozmawiaj z ekspertem

Masz pytania dotyczące tego tematu? Skontaktuj się z naszym opiekunem.

Opiekun handlowy
Grzegorz Gnych

Grzegorz Gnych

Opiekun handlowy

+48 664 003 003grzegorz.gnych@nflo.pl
Odpowiedź w ciągu 24 godzin
Bezpłatna konsultacja
Indywidualne podejście

Podanie numeru telefonu przyspieszy kontakt.

Chcesz obniżyć ryzyko i koszty IT?

Umów bezpłatną konsultację - odpowiemy w ciągu 24h

Odpowiedź w 24h Bezpłatna wycena Bez zobowiązań
Umów rozmowę +48 22 487 86 36

Lub pobierz bezpłatny przewodnik:

E-book: Strategia odporności cyfrowej 2026