IBM API Connect: kritické chyby môžu umožniť spustiť kód na serveri aj bez prih…

Čo sa stalo

IBM vydala dva bezpečnostné bulletiny k platforme IBM API Connect. Tá slúži na správu, zverejňovanie a zabezpečenie API, teda rozhraní, cez ktoré spolu komunikujú aplikácie. Bulletiny riešia desiatky chýb naraz a záznamy k najvážnejším z nich zverejnila americká databáza zraniteľností NVD 7. novembra 2026.

Tento článok sa zameriava na štyri kritické chyby, ktoré sú v databáze NVD podrobne popísané:

CVE-2026-17408: vstupy, ktoré sa bez dostatočného ošetrenia dostanú do príkazov operačného systému. Podľa IBM môže útočník na diaľku spustiť ľubovoľný kód.
CVE-2026-16720: nedostatočné overenie prihlásenia voči pripojenej adresárovej službe. Útočník môže získať platné prístupové tokeny iných používateľov a vystupovať pod ich identitou.
CVE-2026-17399: nedostatočná kontrola nahrávaného obsahu. Prihlásený útočník môže dosiahnuť spustenie kódu na serveri.
CVE-2026-16918: chyba typu SSRF, cez ktorú sa útočník môže dostať k zdrojom vo vnútornej sieti.

V bulletine pre vetvu 12.1 IBM opravuje aj ďalšie vážne problémy, napríklad napevno zabudované prihlasovacie údaje (CVE-2026-17360) alebo obídenie overenia cez alternatívnu cestu (CVE-2026-17313), obe s hodnotením 9,8. Žiadna zo štyroch hlavných chýb zatiaľ nie je v katalógu CISA KEV a ani európska databáza EUVD neuvádza ich zneužívanie.

Prečo je to nebezpečné

Najnebezpečnejšia je CVE-2026-17408, takzvané vkladanie príkazov operačného systému. Predstavte si recepčnú, ktorá zapíše meno návštevy priamo do pokynu pre ochranku. Ak návštevník k menu pripíše ďalší pokyn, ochranka ho poslušne vykoná. Server sa pri tejto chybe správa podobne.

Pri CVE-2026-17408 a CVE-2026-16720 útočník podľa hodnotenia IBM nepotrebuje prihlásenie ani spoluprácu používateľa a útok vedie cez sieť. Pri CVE-2026-17399 musí byť prihlásený, stačí však účet s nízkymi oprávneniami. Úspešný útok môže útočníkovi umožniť spustiť na serveri vlastný kód alebo vystupovať pod identitou iných používateľov. Hrozí aj únik dát, ktoré platforma spravuje. Pri SSRF sa útočník môže dostať k zdrojom vo vnútornej sieti, kam server dosiahne.

CVSS je stupnica závažnosti od 0 do 10. Tieto štyri chyby ohodnotila sama IBM podľa CVSS 3.1 na 9,3 až 9,9, čo je kritická úroveň, a databáza NVD jej hodnotenie preberá. Katalóg CISA KEV vedie americká agentúra CISA a zapisuje doň chyby s potvrdeným zneužívaním. Tieto chyby v ňom zatiaľ nie sú.

EPSS odhaduje pravdepodobnosť, že chybu niekto zneužije v najbližších 30 dňoch. K 8. novembru 2026 je pri CVE-2026-17408 na úrovni 0,9 %, pri ostatných troch medzi 0,4 a 0,8 %. Znie to málo, no ide o čerstvo zverejnené chyby a hodnota sa môže rýchlo zmeniť.

Koho sa to týka

Zasiahnuté sú verzie IBM API Connect 10.0.8.0 až 10.0.8.12 a 12.1.0.0 až 12.1.1.2. Platí to pre všetky štyri spomínané chyby.

API Connect používajú najmä väčšie organizácie, banky, poisťovne, telekomunikačné firmy či verejná správa, ktoré sprístupňujú svoje služby partnerom alebo mobilným aplikáciám. Zvyčajne beží na Kubernetes alebo Red Hat OpenShift, prípadne ako virtuálne zariadenia vo VMware. Menšie firmy sa s ním častejšie stretnú nepriamo, cez dodávateľa alebo integrátora, ktorý platformu prevádzkuje za ne.

Ak API Connect nepoužívate, tieto chyby sa vás netýkajú. Iné verzie IBM v popise týchto chýb neuvádza. Ak máte staršiu vetvu, overte si u IBM, či je ešte podporovaná.

Ako zistiť, či ste zasiahnutí

Na Kubernetes alebo OpenShift zistíte verziu z objektu APIConnectCluster. Nasledujúce príkazy len čítajú a nič nemenia:

kubectl get apiconnectcluster -A

oc get apiconnectcluster -A

Pri inštalácii na VMware spustite v adresári projektu príkaz apicup version, ktorý vypíše verziu inštalačného nástroja. Tá zvyčajne zodpovedá nainštalovanej verzii, presné overenie podsystémov nájdete v dokumentácii IBM.

apicup version

Ak platformu spravuje dodávateľ, vyžiadajte si od neho presné číslo verzie a termín aktualizácie. Porovnajte ho so zoznamom zasiahnutých verzií.

Ako to opraviť

IBM vydala opravené verzie: 10.0.8.13 pre vetvu 10.0.8 a 12.1.1.3 pre vetvu 12.1. Odporúčaný postup:

Spíšte všetky inštalácie API Connect vrátane testovacích a záložných prostredí.
Začnite tými, ktorých rozhrania sú dostupné z internetu, potom pokračujte internými.
Pred aktualizáciou zálohujte podsystémy podľa dokumentácie IBM, najmä správu (management) a portál.
Prečítajte si poznámky k vydaniu a postup aktualizácie pre vašu formu nasadenia (Kubernetes, OpenShift, VMware).
Ak je to možné, aktualizáciu najprv vyskúšajte v testovacom prostredí.
Aktualizujte na 10.0.8.13 alebo 12.1.1.3 a potom príkazmi z predchádzajúcej sekcie overte novú verziu.

Dočasné riešenie, ktoré by aktualizáciu nahradilo, IBM v popise týchto chýb neuvádza. Kým aktualizujete, obmedzte prístup k správcovským rozhraniam, ako sú Cloud Manager a API Manager, len na internú sieť alebo VPN. Prejdite zoznam používateľských účtov a nepotrebné odstráňte. Tieto kroky riziko znížia, aktualizáciu však nenahradia.

Čo ak už ste mohli byť napadnutí

Konkrétne znaky napadnutia IBM v bulletinoch neuvádza. Ak bola vaša inštalácia dostupná z internetu, oplatí sa skontrolovať:

nové alebo neznáme používateľské účty, organizácie poskytovateľov a API kľúče
neobvyklé nahrávanie súborov alebo definícií API v logoch podsystému správy
prihlásenia z neobvyklých adries alebo v nezvyčajnom čase
zmeny v konfigurácii brány (gateway), ktoré nikto neplánoval
spojenia z API Connect na interné adresy, kam by server nemal pristupovať
neznáme procesy alebo súbory v kontajneroch či virtuálnych zariadeniach

Ak niečo z toho nájdete, najprv si odložte logy a zálohy ako dôkazy. Potom zmeňte heslá, tokeny a kľúče vrátane prístupov k pripojenej adresárovej službe. Pri akomkoľvek podozrení prizvite odborníka na riešenie incidentov alebo podporu IBM.

Zdroje

Články zostavuje AI agent z verejných zdrojov (výrobcovia, CISA, ENISA, NVD, SK-CERT, NÚKIB) a čísla verzií aj CVE voči nim automaticky overuje. Pred zásahom do produkcie si postup vždy overte v bulletine výrobcu.

IBM API Connect: kritické chyby môžu umožniť spustiť kód na serveri aj bez prihlásenia