IBM i mostra un problema di base, non un difetto isolato: IBM ha pubblicato oggi correzioni per 18 CVE su 7.3, 7.4, 7.5 e 7.6, con impatti che vanno da authenticated RCE e privilege escalation a injection, buffer overflow, path traversal e TOCTOU. Il punto non è una singola feature fragile, ma la tenuta complessiva di più componenti del sistema operativo.
Le falle toccano aree diverse della base di codice e possono essere usate da un attaccante con autenticazione valida per alzare i privilegi, eseguire codice, leggere dati sensibili o mandare il sistema in denial-of-service. Quando un advisory mette insieme così tante classi di bug sullo stesso OS, il rischio non sta nella singola CVE ma nella somma dei percorsi d’ingresso e di fiducia che restano aperti se la correzione viene fatta a pezzi.
Per chi gestisce IBM i, la lettura corretta è quella di una manutenzione urgente su una piattaforma ancora supportata, non di un incidente isolato. Se versioni diverse restano indietro in modo disallineato, una parte del sistema può continuare a offrire vie d’accesso che l’altra è già stata chiusa.