CVE-2026-16920: Confused Deputy in IBM API Connect

CVSS 9,9: confused deputy in IBM API Connect 12.1.x consente bypass autenticato di restrizioni.

CVE-2026-16920 identifica una confused deputy vulnerability in IBM API Connect versioni 12.1.0.0 attraverso 12.1.1.2. La falla consente a un attaccante autenticato di bypassare restrizioni di sicurezza, sfruttando un meccanismo di delegazione errato. Colpisce il software IBM API Connect, piattaforma di gestione API diffusa in ambienti enterprise e cloud.

Il punteggio CVSS è 9,9 (critical), il valore massimo raggiungibile in questa scala. Sebbene richieda autenticazione, l'impatto è severo: il bypass di restrizioni di sicurezza compromette il controllo degli accessi. Pubblicato da NVD il 2026-11-07, il CVE è già segnalato in social media con due post nelle ultime 24 ore. La disponibilità di patch e dettagli sugli aggiornamenti non è confermata nei dati pubblici.

Per i difensori: identificare immediatamente gli ambienti con IBM API Connect 12.1.0.0–12.1.1.2 in esercizio. Contattare IBM per lo stato della patch. Nel frattempo, implementare restrizioni su chi può effettuare autenticazione, verificare e rafforzare i ruoli e i privilegi degli utenti, e monitorare i log di accesso per comportamenti anomali o tentativi di bypass. Pianificare l'upgrade non appena la correzione è disponibile.

In sintesi

Cosa: Confused deputy vulnerability in IBM API Connect 12.1.0.0 through 12.1.1.2; consente a attaccante autenticato di bypassare restrizioni di sicurezza.
Gravità: CVSS 9,9 (critical). Impatto: bypass di controlli di accesso per utente autenticato.
Versioni interessate: IBM API Connect 12.1.0.0 through 12.1.1.2
Correzione: Non riportato nei dati ufficiali; verificare l'advisory IBM.
Stato: Pubblicato NVD il 2026-11-07; patch/disponibilità non confermata.
Azione: Verificare versione in produzione, applicare patch non appena disponibile, limitare accessi autenticati, monitorare log per tentativi di bypass.

Fonti: NVD, CVE-2026-16920

← Tutti gli articoli