IBM ha parcheado 22 vulnerabilidades en Verify Identity Access y Security Verify Access, incluyendo dos fallos críticos que permiten la ejecución remota de código sin autenticación tanto en despliegues de dispositivos como de contenedores.

Los errores más graves, CVE-2026-78401 y CVE-2026-78406, tienen cada uno una puntuación CVSS de 9.8. Ambos implican la deserialización de datos no confiables, un proceso en el que el software reconstruye datos almacenados o transmitidos en objetos sin verificar adecuadamente si son seguros.

El aviso publicado para CVE-2026-78401 confirma el riesgo de ejecución remota de código sin autenticación. IBM califica ambos errores de deserialización como ataques accesibles por red con baja complejidad, sin necesidad de privilegios y sin interacción del usuario. IBM Parchea 22 Fallos de Verify Access, Incluyendo Errores Críticos de Ejecución Remota de Código.

Una explotación exitosa podría afectar seriamente la confidencialidad de los datos, la integridad y la disponibilidad del servicio. Sin embargo, el boletín suministrado no identifica los puntos finales vulnerables, no describe una cadena de explotación ni informa sobre ataques confirmados.

Estos fallos críticos merecen tu total atención porque los atacantes no necesitan una cuenta válida para llegar al código vulnerable. Su gravedad refleja el impacto potencial y la facilidad del ataque, no evidencia de que la explotación ya haya ocurrido.

IBM Parchea 22 Fallos de Verify Access

Otras tres vulnerabilidades tienen puntuaciones de 9.1. CVE-2026-16916 permite que un atacante remoto autenticado y con altos privilegios ejecute código arbitrario debido a que falla un mecanismo de protección.

CVE-2026-16823 permite a los atacantes saltarse las restricciones de seguridad, mientras que CVE-2026-19491 permite la omisión de la autenticación. A diferencia de los errores de deserialización, estos problemas requieren un acceso diferente y tienen resultados distintos.

La actualización sigue a vulnerabilidades anteriores de IBM Identity and Verify Access reportadas por Cyber Security News, que cubrieron el contrabando de solicitudes, la escalada de privilegios y otras debilidades de seguridad en la misma familia de productos. No confundas esos arreglos anteriores con este lanzamiento de parches de octubre.

El boletín también aborda CVE-2026-18740 y CVE-2026-19482, ambos calificados con 8.8. Estos fallos de inyección de argumentos permiten que atacantes remotos autenticados realicen acciones no autorizadas o ejecuten comandos arbitrarios. CVE-2026-19493, calificado con 7.5, permite a un atacante remoto escribir archivos a través de un salto de directorio (path traversal).

Otras vulnerabilidades incluyen cross-site scripting (XSS) que podría exponer credenciales dentro de sesiones confiables, inyección SQL que podría modificar datos o interrumpir servicios, y falsificación de solicitudes cross-site (CSRF) que podría desencadenar acciones no autorizadas.

Arreglos adicionales abordan la falsificación de registros de auditoría, verificaciones de autorización incorrectas, omisión del flujo de trabajo de autenticación y divulgación de información en el Snapshot Manager Container. Varios fallos de denegación de servicio afectan la asignación de recursos, el procesamiento recursivo y las lecturas de memoria.

IBM también parcheó un problema de escritura en el búfer de pila (stack buffer write) que requiere privilegios administrativos y acceso a la interfaz de gestión local. La cobertura anterior sobre la ejecución de comandos de IBM Security Verify proporciona antecedentes relacionados sobre fallos de dispositivos parcheados previamente.

Las versiones afectadas incluyen IBM Security Verify Access y su edición Container desde la 10.0 hasta la 10.0.9.2. IBM Verify Identity Access y su edición Container están afectados desde la 11.0 hasta la 11.0.3.

IBM indica a los clientes de dispositivos que instalen Verify Identity Access 11.0.3.1 o Security Verify Access 10.0.9.3 a través de sus enlaces de descarga de Fix Central.

Los clientes de contenedores deben seguir la guía de descarga de contenedores de IBM, que identifica las imágenes del producto y las ubicaciones del registro. IBM renombró Security Verify Access a Verify Identity Access a partir de la versión 11.0.0.

El boletín no enumera soluciones temporales ni mitigaciones. IBM te anima a actualizar rápidamente, y el boletín indica que los arreglos suministrados son la remediación establecida para estas vulnerabilidades en todos los despliegues compatibles afectados.

Fuentes:
https://cybersecuritynews.com/ibm-patches-22-verify-access-flaw/