Điểm chính

  • IBM phát hành bản vá khẩn cấp để khắc phục tổng cộng 22 lỗ hổng trong giải pháp quản lý danh tính và truy cập Verify Access.
  • Hai lỗ hổng RCE nghiêm trọng nhất đạt điểm CVSS 9.8 xuất phát từ cơ chế giải tuần tự hóa dữ liệu không an toàn.
  • Quản trị viên hệ thống được khuyến cáo nâng cấp phần mềm ngay lập tức do hiện chưa có giải pháp tạm thời.

IBM vừa chính thức phát hành bản cập nhật bảo mật quan trọng nhằm khắc phục 22 lỗ hổng trong các giải pháp quản lý danh tính và truy cập của hãng, trong đó có các lỗi thực thi mã từ xa mức độ tối đa.

Chi tiết các lỗ hổng nghiêm trọng

Trong số các lỗ hổng được công bố, đáng chú ý nhất là hai lỗi thực thi mã từ xa (Remote Code Execution - RCE) với mức độ nghiêm trọng tối đa, đe dọa trực tiếp đến tính toàn vẹn và bảo mật của các hệ thống triển khai trên cả thiết bị vật lý lẫn môi trường container. Hai lỗ hổng RCE nguy hiểm này được định danh là CVE-2026-78401 và CVE-2026-78406, cả hai đều đạt điểm CVSS 9.8. Nguyên nhân gốc rễ xuất phát từ cơ chế giải tuần tự hóa dữ liệu không an toàn, cho phép kẻ tấn công gửi các đối tượng dữ liệu độc hại để thực thi mã tùy ý trên máy chủ mục tiêu mà không cần đặc quyền hay sự tương tác từ người dùng.

Các lỗ hổng có mức độ nghiêm trọng cao khác

Ngoài hai lỗ hổng RCE nêu trên, bản cập nhật còn giải quyết nhiều lỗi bảo mật quan trọng khác. Cụ thể, CVE-2026-16916 với điểm 9.1 cho phép kẻ tấn công đã xác thực với đặc quyền cao thực thi mã tùy ý. Các lỗi như CVE-2026-16823 và CVE-2026-19491 cho phép vượt qua hạn chế bảo mật hoặc quy trình xác thực. Bên cạnh đó, các lỗi tiêm đối số như CVE-2026-18740 và CVE-2026-19482 đạt điểm 8.8 cho phép thực hiện hành động trái phép, trong khi CVE-2026-19493 điểm 7.5 cho phép thực hiện kỹ thuật path traversal để ghi file vào hệ thống.

Khuyến cáo cập nhật từ IBM

IBM đã cung cấp các bản vá thông qua cổng thông tin Fix Central. Đối với hệ thống sử dụng phiên bản từ 10.0 đến 10.0.9.2 cần nâng cấp lên 10.0.9.3, còn dòng sản phẩm từ 11.0 đến 11.0.3 cần nâng cấp lên phiên bản 11.0.3.1. Hiện tại không có giải pháp tạm thời nào được ghi nhận, do đó việc trì hoãn cập nhật sẽ khiến hệ thống đối mặt với rủi ro bị chiếm quyền điều khiển hoàn toàn. Khách hàng sử dụng phiên bản Container cũng cần truy cập các registry được chỉ định để tải xuống các image đã được vá lỗi nhằm đảm bảo an toàn cho hạ tầng doanh nghiệp.