Čo sa stalo
IBM 7. novembra 2026 vydala bezpečnostný bulletin k systému IBM Aspera Faspex, ktorý firmy používajú na posielanie a prijímanie veľkých súborov cez webové rozhranie. Chyba s označením CVE-2026-123218 umožňuje prihlásenému používateľovi poslať špeciálne pripravenú správu, obísť kontrolu oprávnení a získať plné práva správcu.
Americká agentúra pre kybernetickú bezpečnosť CISA 9. novembra 2026 zaradila chybu do katalógu Known Exploited Vulnerabilities (KEV), teda medzi zraniteľnosti, ktoré útočníci preukázateľne zneužívajú. Európska databáza zraniteľností EUVD, ktorú prevádzkuje agentúra ENISA, ju pod číslom EUVD-2026-118902 vedie ako zneužívanú od 9. novembra 2026.
Podľa portálu The Hacker News zatiaľ nie sú verejne známe podrobnosti o tom, ako útoky prebiehajú, kto za nimi stojí ani aký majú rozsah. IBM vydala opravu vo verzii 5.0.19 PL1 a dôrazne odporúča aktualizovať okamžite.
Prečo je to nebezpečné
Ide o chybu typu „nesprávna autorizácia“ (CWE-863). Systém síce overí, kto ste, ale v určitej situácii zle skontroluje, čo smiete robiť. Predstavte si budovu, kde vrátnik pri vchode skontroluje preukaz, no potom už nikto nesleduje, či zamestnanec s kartou do skladu nevojde aj do kancelárie riaditeľa.
IBM v popise uvádza, že útočník musí byť prihlásený používateľ. Stačí mu však bežný účet a útok ide cez sieť, teda aj cez internet, ak je Faspex dostupný zvonka. Vo vektore CVSS, ktorý pridelila sama IBM, je pritom uvedené, že žiadne oprávnenia nie sú potrebné. Bezpečnejšie je preto počítať s tým, že na útok môže stačiť akýkoľvek účet, napríklad aj účet externého partnera.
Kto získa práva správcu, ovláda celý systém: môže vidieť a sťahovať prenášané súbory, meniť nastavenia a vytvárať nové účty. Keďže cez Faspex často prúdia citlivé dokumenty, zmluvy či dáta klientov, hrozí najmä ich únik.
Skóre CVSS 9,8 z 10 podľa verzie CVSS 3.1 pridelila sama IBM a znamená kritickú závažnosť. CVSS je medzinárodná stupnica, ktorá hodnotí, aká vážna je chyba z technického pohľadu.
Katalóg CISA KEV obsahuje len chyby, pri ktorých existujú dôkazy o skutočných útokoch. Americké federálne úrady musia túto chybu odstrániť do 12. novembra 2026. Skóre EPSS, ktoré odhaduje pravdepodobnosť zneužitia v najbližších 30 dňoch, bolo 9. novembra 2026 len 0,4 %, čo je viac ako pri približne 34 % hodnotených chýb. EPSS je však iba štatistický odhad a potvrdené zneužívanie z katalógu KEV má prednosť.
Koho sa to týka
Zraniteľné sú verzie IBM Aspera Faspex 5.0.0 až 5.0.19. Ako opravenú platformu IBM uvádza Linux, kde Faspex 5 beží v kontajneroch.
Faspex používajú firmy a organizácie, ktoré si s partnermi, klientmi alebo pobočkami vymieňajú veľké objemy dát. Ak je server dostupný z internetu, napríklad aby doň mohli posielať súbory aj externí používatelia, riziko je vyššie.
Bulletin IBM uvádza ako zraniteľný len rad Faspex 5. IBM ho vo svojej klasifikácii priraďuje aj k službám ako IBM Aspera on Demand či IBM Aspera Faspex On Demand. Ak ich využívate, overte si stav u podpory IBM.
Ak Faspex vôbec nepoužívate, táto chyba sa vás netýka. Myslite však aj na zabudnuté testovacie inštalácie alebo systémy, ktoré pre vás spravuje dodávateľ.
Ako zistiť, či ste zasiahnutí
Verziu môžete overiť vo webovej administrácii Faspexu po prihlásení ako správca. Ak máte prístup na server, zistíte ju aj z kontajnerov. Nasledujúce príkazy nič nemenia, len vypisujú informácie:
docker ps --format '{{.Names}} {{.Image}}' | grep -i faspexdocker images | grep -i faspex-coreAk namiesto Dockeru používate Podman, nahraďte docker príkazom podman. Verzia 5.0.19 alebo nižšia bez Fix Pack 1 je zraniteľná. Opravená inštalácia má podľa IBM image faspex-core vo verzii 5.0.19 (1ce4b13, Fix Pack: 1). Ak výpis Fix Pack neukazuje, overte ho postupom, na ktorý odkazuje bulletin IBM.
Zistite aj, či je webové rozhranie Faspexu dostupné z internetu. Ak áno, aktualizácia má najvyššiu prioritu.
Ako to opraviť
IBM chybu opravila vo verzii IBM Aspera Faspex 5.0.19 PL1 pre Linux a dôrazne odporúča aktualizovať hneď. Dočasné riešenie ani náhradné opatrenie výrobca neuvádza, jedinou skutočnou ochranou je teda aktualizácia.
Odporúčaný postup:
- Spíšte všetky inštalácie Faspexu vrátane testovacích a začnite tými, ktoré sú dostupné z internetu.
- Pred aktualizáciou si urobte zálohu alebo snapshot servera a konfigurácie.
- Aktualizujte na verziu 5.0.19 PL1 podľa postupu, na ktorý odkazuje bezpečnostný bulletin IBM.
- Po aktualizácii overte, že image
faspex-coremá verziu 5.0.19 (1ce4b13, Fix Pack: 1). - Hneď potom skontrolujte, či systém nebol napadnutý, ako popisuje nasledujúca časť.
Ak nemôžete aktualizovať okamžite, oficiálnu náhradu IBM neponúka. Rozumným všeobecným krokom je dočasne obmedziť prístup k Faspexu z internetu, napríklad len cez VPN alebo zo známych IP adries, prípadne službu do aktualizácie vypnúť. CISA americkým federálnym úradom ukladá, že ak opatrenia nie sú dostupné, majú produkt prestať používať.
Čo ak už ste mohli byť napadnutí
Útoky už prebiehajú, no podrobnosti o nich zatiaľ nie sú verejne známe a IBM v bulletine neuvádza konkrétne indikátory napadnutia. Pozrite sa preto najmä na stopy zneužitia správcovských práv:
- neznáme účty správcov alebo bežné účty, ktoré nečakane dostali vyššie práva,
- nové účty, API kľúče či integrácie, ktoré nikto z vás nevytvoril,
- zmeny nastavení, napríklad prihlasovania, notifikácií alebo úložísk,
- nezvyčajné sťahovanie balíkov a súborov, najmä z neznámych IP adries alebo mimo pracovného času,
- podozrivé záznamy v logoch kontajnerov Faspexu, na reverznej proxy a na firewalle.
docker logs <nazov_kontajnera> 2>&1 | lessAk nájdete čokoľvek podozrivé, nič nemažte a prizvite odborníka na riešenie incidentov, aby sa zachovali stopy. Ak mohli uniknúť osobné údaje, posúďte povinnosť ohlásiť incident podľa GDPR do 72 hodín. Po vyčistení zmeňte heslá správcov aj integračné kľúče.