Vulnerabilità · 53 giorni fa

WebSphere Liberty rompe il confine di autenticazione

IBM ha corretto il 21 agosto quattro vulnerabilità in WebSphere Application Server e nei prodotti collegati, con un caso critico che cambia la fiducia nel login boundary quando rtcomm è attivo. Le advisory di INCIBE e NCSC-NL consolidano anche altre correzioni per AIX e PowerVM VIOS, ma il punto davvero sensibile resta CVE-2026-14525.

Nel caso critico, WebSphere Liberty tratta una richiesta come se arrivasse da un utente già autenticato quando la funzione rtcomm-1.0 o rtcommGateway-1.0 è abilitata. Le altre tre falle in Apache CXF portano invece a denial of service: basta inviare richieste con parametri o allegati troppo numerosi o troppo grandi, o con intestazioni multiple, per consumare risorse del servizio.

Per gli amministratori IBM il quadro non è un semplice pacchetto di patch di routine: una falla tocca il controllo accessi, le altre l’operatività. Chi usa applicazioni basate su rtcomm deve considerare il perimetro di autenticazione come potenzialmente debole finché non è applicata la correzione prevista nei fix pack indicati da IBM.

CVE-2026-14525

NVD KEV

CVSS 9.4 CRITICAL: iBM WebSphere Application Server - Liberty 17.0.0.3 through 26.0.0.8 IBM WebSphere Application Server Liberty is…

CVE-2026-57819

NVD KEV

Cronologia

21 ago Segnalato da NCSC-NL Advisories

Fonti

2 fonti che coprono questa storia

NCSC-NL Advisories 21 ago
Meerdere kwetsbaarheden verholpen in IBM AIX en IBM PowerVM VIOS
IBM heeft kwetsbaarheden verholpen in AIX en PowerVM VIOS.
INCIBE-CERT 21 ago
Múltiples vulnerabilidades en IBM WebSphere Application Server
IBM ha publicado 4 vulnerabilidades: 1 de severidad crítica y 3 de severidad alta que, en caso de ser

Entità

CVE-2026-14525
CVE-2026-57819

Part of the PlainSec briefing for 2026-08-24

Editions

Storie correlate

Vulnerabilità · 53 giorni faWebSphere Liberty rompe il confine di autenticazioneIBM ha corretto il 21 agosto quattro vulnerabilità in WebSphere Application Server e nei prodotti collegati, con un caso critico che cambia la fiducia nel login boundary quando rtcomm è attivo. Le advisory di INCIBE e NCSC-NL consolidano anche altre correzioni per AIX e PowerVM VIOS, ma il punto davvero sensibile resta CVE-2026-14525.Nel caso critico, WebSphere Liberty tratta una richiesta come se arrivasse da un utente già autenticato quando la funzione rtcomm-1.0 o rtcommGateway-1.0 è abilitata. Le altre tre falle in Apache CXF portano invece a denial of service: basta inviare richieste con parametri o allegati troppo numerosi o troppo grandi, o con intestazioni multiple, per consumare risorse del servizio.Per gli amministratori IBM il quadro non è un semplice pacchetto di patch di routine: una falla tocca il controllo accessi, le altre l’operatività. Chi usa applicazioni basate su rtcomm deve considerare il perimetro di autenticazione come potenzialmente debole finché non è applicata la correzione prevista nei fix pack indicati da IBM.