Una explicación de una vulnerabilidad en IBM Aspera Faspex de la 5.0.0 a la 5.0.19 (un producto para enviar y compartir archivos grandes) que permite a un atacante eludir la autorización y obtener privilegios de administrador. Cubre qué ocurre, quién está afectado y cómo responder, desde el lado de la defensa y sin pasos de ataque.
- CVE
- CVE-2026-123218 (boletín de seguridad de IBM 7295921)
- Gravedad
- CVSS v3.1 9.8 (crítica; vector AV:N/AC:L/PR:N/UI:N; asignada por IBM)
- Tipo
- Autorización incorrecta (CWE-863). Un mensaje manipulado elude la autorización y da privilegios de administrador
- Condiciones previas
- Descritas de forma distinta según la fuente. IBM y el registro CVE: un usuario autorizado. CVSS de IBM: sin privilegios (PR:N). KEV: un usuario autenticado
- Afectado
- IBM Aspera Faspex de la 5.0.0 a la 5.0.19
- Corrección
- IBM Aspera Faspex 5.0.19 PL1 (Linux). Sin solución provisional indicada
- Fechas
- Boletín de IBM y CVE: 7 de noviembre de 2026
- Explotación
- Añadido a CISA KEV el 9 de noviembre de 2026 (plazo: 12 de noviembre). No se menciona en el boletín de IBM
El riesgo de esperar
Con privilegios de administrador, un atacante llega a los archivos que guarda Faspex, a sus ajustes de uso compartido y a la gestión de usuarios. Los productos de transferencia de archivos suelen contener datos confidenciales y muy voluminosos intercambiados con socios, de modo que el impacto no se queda dentro del producto. CISA marca esta entrada de KEV como que requiere un triaje forense, no solo una aplicación rutinaria de parches.
Qué es la vulnerabilidad
El boletín de IBM y el registro CVE dicen que, en Faspex de la 5.0.0 a la 5.0.19, un mensaje manipulado puede eludir la autorización del usuario y dar privilegios completos de administrador. Se clasifica como autorización incorrecta (CWE-863). Ni el boletín ni este sitio describen la forma del mensaje ni cómo enviarlo.
Lo llamativo es que las condiciones previas se describen de forma incoherente. Este sitio no se decanta por una; pone las fuentes lado a lado.
IBM (boletín y CVSS)
- Descripción del registro CVE: un usuario autorizado elabora un mensaje
- Vector CVSS: sin privilegios (PR:N), sin interacción del usuario
- Puntuación 9.8 (crítica)
CISA (KEV)
- Descripción: un usuario autenticado elabora un mensaje
- Se elude la autorización, con escalada de privilegios
- Sin puntuación (KEV no la publica)
«Usuario autorizado» y «sin privilegios» no encajan bien, y el boletín de IBM no dice cuál se acerca más a la realidad. Quien defiende debe planificar para el peor caso: una cuenta de trabajo corriente puede llevar a administrador, y no se puede descartar llegar sin ninguna cuenta.
Quién está afectado
| Elemento | Detalle |
|---|---|
| Producto | IBM Aspera Faspex |
| Versiones afectadas | De la 5.0.0 a la 5.0.19 |
| Corrección | 5.0.19 PL1 (Linux). IBM pide validar la imagen del contenedor faspex-core |
| Soluciones provisionales y mitigaciones | Ninguna, según el boletín de IBM |
| Versiones que no figuran en el boletín | Líneas anteriores a la 5.0.0 y otras; consulte a IBM si las usa |
- La corrección se entrega parcheando las imágenes de los contenedores (consulte la documentación de IBM para el procedimiento).
- Si usa Faspex a través de un revendedor o un proveedor de mantenimiento, juzgue por la misma versión y siga las indicaciones de su proveedor.
Cómo comprobar si está afectado
Compruebe su versión de Faspex
Mire la consola de administración o la versión de la imagen de contenedor desplegada. De la 5.0.0 a la 5.0.19 está afectada; un despliegue corregido es la 5.0.19 Fix Pack 1. Si producción, preproducción y desarrollo están separados, compruebe cada uno (lista de comprobación del inventario de activos).
Compruebe si es accesible desde fuera
Compruebe si la interfaz web y la API de Faspex son accesibles desde internet o desde redes de socios. En un producto incluido en KEV, la exposición a internet es el factor que más pesa al fijar la prioridad.
Haga una lista de quién tiene derechos de administrador
Anote las cuentas de administrador actuales. Será la base de referencia para detectar administradores inesperados en la revisión posterior a la actualización.
Qué hacer hoy
Actualice a la 5.0.19 PL1 (máxima prioridad)
Siga el procedimiento de IBM para llevar las imágenes de los contenedores a la versión corregida. Después confirme que la imagen faspex-core es la 5.0.19 (1ce4b13, Fix Pack: 1). El plazo de KEV es el 12 de noviembre.
Limite quién puede acceder hasta que pueda actualizar
IBM no ofrece ninguna solución provisional. Como añadido propio de este sitio, limite las direcciones de origen que pueden llegar a Faspex a los usuarios y las redes de socios que lo necesiten. No sustituye a la actualización; solo reduce la exposición por ahora.
Revise las cuentas de administrador y los cambios de privilegios
Para el periodo anterior a la actualización, busque nuevos administradores, cuentas corrientes elevadas a privilegios superiores y contraseñas o claves de API reemitidas. Compare con la lista de administradores que anotó y desactive a quien no esperaba.
Compruebe los ajustes de uso compartido y transferencia, y los registros
Busque enlaces compartidos inesperados, destinatarios añadidos, ajustes de transferencia modificados y descargas inusualmente grandes. Como KEV marca esta entrada para triaje forense, no se quede en la actualización; busque señales de compromiso. La guía de corrección de vulnerabilidades cubre el proceso.
Rote las credenciales si encuentra algo sospechoso
Si encuentra actividad sospechosa de administrador, rote las contraseñas de administrador, las claves de API y las cuentas conectadas, e informe a los socios afectados. Aunque no encuentre nada, anote qué comprobó y de qué periodo.
Estado de la explotación
- CISA lo añadió a KEV el 9 de noviembre de 2026 con un plazo del 12 de noviembre (versión 2026.11.09 del catálogo KEV). Este sitio toma la inclusión en KEV como base de la explotación.
- El boletín de IBM no dice nada sobre explotación. No se pudo confirmar información pública sobre escala, métodos ni actores.
- KEV registra el uso en ransomware como Desconocido y el triaje forense como Sí.
- La valoración de CISA (explotación activa, automatizable, impacto técnico total) se ha añadido al registro CVE.
- El estado en NVD es Undergoing Analysis, y muestra el 9.8 asignado por IBM.
- Faspex ya ha figurado en KEV: CVE-2022-47986 (ejecución de código) se añadió el 21 de febrero de 2023, con el uso en ransomware registrado como Conocido. Es una vulnerabilidad distinta.
La visión de este sitio: las condiciones previas incoherentes no son motivo para esperar
Razonar «si hace falta autenticación, estamos bien» es arriesgado, por dos motivos.
Primero, Faspex está pensado para que lo usen socios, por lo que a menudo hay muchas cuentas externas; cuantas más personas pueden iniciar sesión, menos protege exigir autenticación. Segundo, el CVSS de IBM dice que no se necesitan privilegios, y la información pública no permite decidir qué descripción es la correcta. Trate con prudencia lo que no pueda decidir: actualice primero y después revise los cambios de administradores (autenticación frente a autorización).
Fuentes
- IBM — Security Bulletin: IBM Aspera Faspex has addressed a vulnerability that could allow authorization bypass (publicado el 7 de noviembre de 2026; versiones afectadas, corrección, sin solución provisional, CVSS 9.8)
- CVE.org — CVE-2026-123218 (publicado el 7 de noviembre de 2026; incluye la inclusión por CISA)
- NVD — CVE-2026-123218 (Undergoing Analysis; CWE-863)
- CISA KEV — Known Exploited Vulnerabilities Catalog (añadido el 9 de noviembre, plazo el 12 de noviembre; la entrada anterior de Faspex está en el mismo catálogo)
Última verificación: 10 de noviembre de 2026.
Lee a continuación
- Práctica: La guía de corrección de vulnerabilidades / Lista de comprobación del inventario de activos
- Decidir: Priorizar con CVSS, EPSS y KEV
- Autenticación y autorización: Autenticación frente a autorización
- Términos: ¿Qué es CVSS?