Un boletín de seguridad crítico destaca múltiples vulnerabilidades en los productos Verify Identity Access y Security Verify Access.

Si no se parchean, estas fallas de seguridad generalizadas podrían permitir que actores maliciosos accedan a información sensible, escalen sus privilegios en el sistema o provoquen un denegación de servicio completa de la aplicación.

Las organizaciones que dependen de estas plataformas de autenticación deben tomar medidas inmediatas para parchear su infraestructura. Un problema destacado en el último aviso de seguridad gira en torno a cómo la plataforma maneja el tráfico web.

Registradas como CVE-2026-2862 y CVE-2026-1491, estas vulnerabilidades de contrabando de solicitudes HTTP surgen de un manejo inconsistente del proxy inverso y tienen una puntuación CVSS de 5.3.

Al explotar esta vulnerabilidad, un atacante remoto no autenticado puede engañar al servidor proxy para exponer el tráfico web interno.

En última instancia, esta inconsistencia permite al atacante eludir silenciosamente las comprobaciones de seguridad y obtener acceso no autorizado a datos de usuario altamente sensibles.

Fallas críticas y de alta gravedad

La actualización de seguridad también parchea varias otras vulnerabilidades graves que los administradores de sistemas deben priorizar:

• CVE-2026-1188 (CVSS 9.8): Una vulnerabilidad crítica de desbordamiento de búfer en la biblioteca Eclipse OMR port.

Debido a que el sistema no calcula correctamente los tamaños de búfer al leer las características del procesador, un atacante puede provocar un desbordamiento de memoria que podría llevar a la compromisión total del sistema.

• CVE-2026-1346 (CVSS 9.3): Una falla grave en el contenedor de Security Verify Access que permite a un usuario autenticado localmente escalar sus privilegios de sistema directamente a root.
• CVE-2023-46233 (CVSS 9.1): Se encontró una debilidad importante en la biblioteca crypto-js. La biblioteca usa SHA-1 por defecto, un algoritmo de hash obsoleto e inseguro, y emplea solo una iteración para establecer la dificultad de la contraseña. Esto debilita gravemente las protecciones de contraseñas y firmas contra ataques de fuerza bruta.
• CVE-2026-1342 (CVSS 8.5): Una vulnerabilidad en la plataforma de contenedores que permite a usuarios autenticados localmente ejecutar scripts maliciosos desde una esfera de control no confiable.
• CVE-2026-4101 (CVSS 8.1): Bajo ciertas condiciones de carga pesada, atacantes remotos podrían eludir los mecanismos de autenticación existentes y obtener acceso no autorizado a la aplicación.
• CVE-2026-1345 (CVSS 7.3): Una vulnerabilidad de inyección de comandos del sistema operativo que permite a usuarios no autenticados ejecutar comandos arbitrarios debido a una validación incorrecta de la entrada.

El boletín también aborda CVE-2026-1343 (Falsificación de solicitudes del lado del servidor), CVE-2025-12635 (Cross-Site Scripting) y varias vulnerabilidades de consumo de recursos en Java SE.

Estas fallas de seguridad afectan a IBM Verify Identity Access e IBM Security Verify Access versiones 10.0 hasta 11.0.2, incluyendo sus respectivos despliegues en contenedores.

Dado que no existen soluciones alternativas ni mitigaciones oficiales para detener estos ataques, IBM insta encarecidamente a los clientes a aplicar los parches de software de inmediato.

Los administradores de sistemas deben descargar e instalar IBM Verify Identity Access v11.0.2 IF1 o IBM Security Verify Access v10.0.9.1 IF1 desde el portal oficial de soporte.

Los usuarios de contenedores deben extraer las últimas imágenes actualizadas del registro de contenedores para garantizar que sus entornos permanezcan seguros frente a amenazas externas.