WebSphere Liberty rompe il confine di autenticazione
IBM ha corretto il 21 agosto quattro vulnerabilità in WebSphere Application Server e nei prodotti collegati, con un caso critico che cambia la fiducia nel login boundary quando rtcomm è attivo. Le advisory di INCIBE e NCSC-NL consolidano anche altre correzioni per AIX e PowerVM VIOS, ma il punto davvero sensibile resta CVE-2026-14525.
Nel caso critico, WebSphere Liberty tratta una richiesta come se arrivasse da un utente già autenticato quando la funzione rtcomm-1.0 o rtcommGateway-1.0 è abilitata. Le altre tre falle in Apache CXF portano invece a denial of service: basta inviare richieste con parametri o allegati troppo numerosi o troppo grandi, o con intestazioni multiple, per consumare risorse del servizio.
Per gli amministratori IBM il quadro non è un semplice pacchetto di patch di routine: una falla tocca il controllo accessi, le altre l’operatività. Chi usa applicazioni basate su rtcomm deve considerare il perimetro di autenticazione come potenzialmente debole finché non è applicata la correzione prevista nei fix pack indicati da IBM.