CVE-2026-17410: falla multi-tenant in IBM API Connect

CVE-2026-17410 affetta IBM API Connect nelle versioni 10.0.8.0 attraverso 10.0.8.12 e 12.1.0.0 attraverso 12.1.1.2. La falla risiede in un'improper neutralization di delimitatori di argomenti che permette a un attaccante autenticato di eludere i controlli di isolamento tra tenant. Conseguenza critica: un utente legittimato su una organizzazione può accedere e modificare i dati del portale di altre organizzazioni, compromettendo gravemente la segregazione multi-tenant.

Il punteggio CVSS assegnato è 9,9 (critical). Sebbene la falla richieda autenticazione preliminare, l'impatto è molto alto poiché consente accesso e modifica di dati appartenenti ad altri tenant. La CVE è stata pubblicata il 2026-11-07 su NVD. Nei dati ufficiali non è segnalato exploit pubblico confermato, tuttavia il rilascio della vulnerabilità ha già generato attenzione sui social network (30 interazioni su X nelle prime 24 ore, con segnali coerenti tra NVD e report sociali).

Team di sicurezza e amministratori devono prioritizzare subito la verifica delle versioni di API Connect in loro ambiente. Contattare immediatamente IBM per la disponibilità di patch e cronogramma di rilascio. Nel frattempo, implementare monitoraggio potenziato sugli accessi cross-tenant attraverso audit dei log, verificare la cronologia di modifiche tra organizzazioni, segmentare la rete per limitare comunicazioni tra ambienti di tenant diversi e applicare il principio di least privilege ai ruoli di accesso e autorizzazioni.