CVE-2026-17402: OS Command Injection in IBM API Connect

CVE-2026-17402 identifica una vulnerabilità di OS command injection in IBM API Connect che colpisce i rilasci 10.0.8.0 fino 10.0.8.12 e 12.1.0.0 fino 12.1.1.2. La falla risiede nella insufficiente validazione dell'input utente prima del passaggio al sistema operativo sottostante. Un attaccante autenticato remoto può sfruttarla per eseguire comandi arbitrari con i privilegi del processo API Connect, compromettendo la confidenzialità, integrità e disponibilità di sistemi e dati.

Il punteggio CVSS assegnato è 9,9, classificazione critical. La vulnerabilità è stata resa pubblica il 7 novembre 2026. Nei dati disponibili non risulta confermato un exploit pubblico, tuttavia la discussione su social è iniziata subito dopo la divulgazione con coerenza sui dettagli tecnici (1 post nelle ultime 24 ore). Il fatto che la falla colpisca versioni mainstream di un prodotto enterprise con impatto su comandi di sistema a livello di host rappresenta un segnale di gravità confermato da fonti concordi.

I difensori devono innanzitutto inventariare tutte le istanze di IBM API Connect nei loro ambienti e verificare quali versioni sono in esecuzione. Successivamente, devono consultare gli avvisi di sicurezza ufficiali IBM per ottenere le patch disponibili e pianificare l'aggiornamento con priorità massima. Nel breve termine, rafforzare il monitoraggio dei log di accesso autenticato e dei log di sistema per rilevare attività anomale. Implementare segmentazione di rete e limitare l'accesso a API Connect agli utenti e sistemi strettamente necessari.