Uma explicação de uma vulnerabilidade no IBM Aspera Faspex da 5.0.0 à 5.0.19 (um produto para enviar e compartilhar arquivos grandes) que permite a um invasor contornar a autorização e obter privilégios de administrador. Cobre o que acontece, quem é afetado e como responder, do lado da defesa e sem passos de ataque.
- CVE
- CVE-2026-123218 (boletim de segurança da IBM 7295921)
- Gravidade
- CVSS v3.1 9,8 (crítica; vetor AV:N/AC:L/PR:N/UI:N; atribuída pela IBM)
- Tipo
- Autorização incorreta (CWE-863). Uma mensagem manipulada contorna a autorização e dá privilégios de administrador
- Condições prévias
- Descritas de forma diferente conforme a fonte. IBM e registro CVE: um usuário autorizado. CVSS da IBM: sem privilégios (PR:N). KEV: um usuário autenticado
- Afetado
- IBM Aspera Faspex da 5.0.0 à 5.0.19
- Correção
- IBM Aspera Faspex 5.0.19 PL1 (Linux). Nenhuma solução alternativa listada
- Datas
- Boletim da IBM e CVE: 7 de novembro de 2026
- Exploração
- Incluído no CISA KEV em 9 de novembro de 2026 (prazo: 12 de novembro). Não mencionada no boletim da IBM
O risco de esperar
Com privilégios de administrador, um invasor chega aos arquivos mantidos no Faspex, às suas configurações de compartilhamento e ao gerenciamento de usuários. Produtos de transferência de arquivos costumam guardar dados confidenciais e muito volumosos trocados com parceiros, então o impacto não fica restrito ao produto. A CISA marca esta entrada do KEV como exigindo triagem forense, e não apenas aplicação rotineira de correções.
O que é a vulnerabilidade
O boletim da IBM e o registro CVE dizem que, no Faspex da 5.0.0 à 5.0.19, uma mensagem manipulada pode contornar a autorização do usuário e dar privilégios completos de administrador. Ela é classificada como autorização incorreta (CWE-863). Nem o boletim nem este site descrevem o formato da mensagem nem como enviá-la.
O ponto notável é que as condições prévias são descritas de forma inconsistente. Este site não se fixa em uma; coloca as fontes lado a lado.
IBM (boletim e CVSS)
- Descrição do registro CVE: um usuário autorizado elabora uma mensagem
- Vetor CVSS: sem privilégios (PR:N), sem interação do usuário
- Pontuação 9,8 (crítica)
CISA (KEV)
- Descrição: um usuário autenticado elabora uma mensagem
- A autorização é contornada, com escalonamento de privilégios
- Sem pontuação (o KEV não a publica)
«Usuário autorizado» e «sem privilégios» não combinam bem, e o boletim da IBM não diz qual está mais próximo da verdade. Quem defende deve planejar para o pior caso: uma conta de trabalho comum pode levar a administrador, e não se pode descartar chegar sem nenhuma conta.
Quem é afetado
| Item | Detalhe |
|---|---|
| Produto | IBM Aspera Faspex |
| Versões afetadas | Da 5.0.0 à 5.0.19 |
| Correção | 5.0.19 PL1 (Linux). A IBM pede que se valide a imagem de contêiner faspex-core |
| Soluções alternativas e mitigações | Nenhuma, segundo o boletim da IBM |
| Versões que não constam no boletim | Linhas anteriores à 5.0.0 e outras; consulte a IBM se as usa |
- A correção é entregue aplicando patch nas imagens de contêiner (consulte a documentação da IBM para o procedimento).
- Se você usa o Faspex por meio de um revendedor ou fornecedor de manutenção, julgue pela mesma versão e siga a orientação do seu fornecedor.
Como verificar se você é afetado
Verifique a versão do seu Faspex
Veja o console de administração ou a versão da imagem de contêiner implantada. Da 5.0.0 à 5.0.19 é afetada; uma implantação corrigida é a 5.0.19 Fix Pack 1. Se produção, homologação e desenvolvimento forem separados, verifique cada um (checklist de inventário de ativos).
Verifique se ele pode ser acessado de fora
Verifique se a interface web e a API do Faspex podem ser acessadas da internet ou de redes de parceiros. Em um produto que está no KEV, a exposição à internet é o fator que mais pesa ao definir a prioridade.
Liste quem tem direitos de administrador
Registre as contas de administrador atuais. Isso vira a linha de base para identificar administradores inesperados na revisão posterior à atualização.
O que fazer hoje
Atualize para a 5.0.19 PL1 (prioridade máxima)
Siga o procedimento da IBM para levar as imagens de contêiner à versão corrigida. Depois confirme que a imagem faspex-core é a 5.0.19 (1ce4b13, Fix Pack: 1). O prazo do KEV é 12 de novembro.
Limite quem pode acessar até poder atualizar
A IBM não dá nenhuma solução alternativa. Como acréscimo próprio deste site, limite os endereços de origem que podem chegar ao Faspex aos usuários e redes de parceiros que precisam dele. Isso não substitui a atualização; apenas reduz a exposição por enquanto.
Revise as contas de administrador e as mudanças de privilégios
Para o período anterior à atualização, procure novos administradores, contas comuns promovidas a privilégios maiores e senhas ou chaves de API reemitidas. Compare com a lista de administradores que você registrou e desative quem não esperava.
Verifique as configurações de compartilhamento e transferência e os logs
Procure links de compartilhamento inesperados, destinatários adicionados, configurações de transferência alteradas e downloads incomumente grandes. Como o KEV marca esta entrada para triagem forense, não pare na atualização; procure sinais de comprometimento. O guia de correção de vulnerabilidades cobre o processo.
Troque as credenciais se encontrar algo suspeito
Se encontrar atividade suspeita de administrador, troque senhas de administrador, chaves de API e contas conectadas, e avise os parceiros envolvidos. Mesmo que não encontre nada, registre o que verificou e de qual período.
Situação da exploração
- A CISA o incluiu no KEV em 9 de novembro de 2026 com prazo em 12 de novembro (versão 2026.11.09 do catálogo KEV). Este site toma a inclusão no KEV como base da exploração.
- O boletim da IBM não diz nada sobre exploração. Não foi possível confirmar informações públicas sobre escala, métodos ou atores.
- O KEV registra o uso em ransomware como Desconhecido e a triagem forense como Sim.
- A avaliação da CISA (exploração ativa, automatizável, impacto técnico total) foi adicionada ao registro CVE.
- O status no NVD é Undergoing Analysis, e mostra o 9,8 atribuído pela IBM.
- O Faspex já esteve no KEV: o CVE-2022-47986 (execução de código) foi incluído em 21 de fevereiro de 2023, com o uso em ransomware registrado como Conhecido. É uma vulnerabilidade diferente.
A visão deste site: as condições prévias inconsistentes não são motivo para esperar
Raciocinar «se precisa de autenticação, estamos bem» é arriscado, por dois motivos.
Primeiro, o Faspex foi feito para ser usado por parceiros, então muitas vezes há muitas contas externas; quanto mais pessoas podem entrar, menos a exigência de autenticação protege. Segundo, o CVSS da IBM diz que não são necessários privilégios, e a informação pública não permite decidir qual descrição está certa. Trate com cautela o que não consegue decidir: atualize primeiro e depois revise as mudanças de administradores (autenticação versus autorização).
Fontes
- IBM — Security Bulletin: IBM Aspera Faspex has addressed a vulnerability that could allow authorization bypass (publicado em 7 de novembro de 2026; versões afetadas, correção, sem solução alternativa, CVSS 9,8)
- CVE.org — CVE-2026-123218 (publicado em 7 de novembro de 2026; inclui a inclusão pela CISA)
- NVD — CVE-2026-123218 (Undergoing Analysis; CWE-863)
- CISA KEV — Known Exploited Vulnerabilities Catalog (incluído em 9 de novembro, prazo em 12 de novembro; a entrada anterior do Faspex está no mesmo catálogo)
Última verificação: 10 de novembro de 2026.
Leia em seguida
- Prática: O guia de correção de vulnerabilidades / Checklist de inventário de ativos
- Decidir: Priorizar com CVSS, EPSS e KEV
- Autenticação e autorização: Autenticação versus autorização
- Termos: O que é CVSS?