IBM API Connect: kritické chyby mohou umožnit spustit kód na serveru i bez přih…

Co se stalo

IBM vydala dva bezpečnostní bulletiny k platformě IBM API Connect. Ta slouží ke správě, zveřejňování a zabezpečení API, tedy rozhraní, přes která spolu komunikují aplikace. Bulletiny řeší desítky chyb najednou a záznamy k nejzávažnějším z nich zveřejnila americká databáze zranitelností NVD 7. listopadu 2026.

Tento článek se zaměřuje na čtyři kritické chyby, které jsou v databázi NVD podrobně popsány:

CVE-2026-17408: vstupy, které se bez dostatečného ošetření dostanou do příkazů operačního systému. Podle IBM může útočník na dálku spustit libovolný kód.
CVE-2026-16720: nedostatečné ověření přihlášení vůči připojené adresářové službě. Útočník může získat platné přístupové tokeny jiných uživatelů a vystupovat pod jejich identitou.
CVE-2026-17399: nedostatečná kontrola nahrávaného obsahu. Přihlášený útočník může dosáhnout spuštění kódu na serveru.
CVE-2026-16918: chyba typu SSRF, přes kterou se útočník může dostat ke zdrojům ve vnitřní síti.

V bulletinu pro větev 12.1 IBM opravuje i další vážné problémy, například napevno zabudované přihlašovací údaje (CVE-2026-17360) nebo obejití ověření alternativní cestou (CVE-2026-17313), obě s hodnocením 9,8. Žádná ze čtyř hlavních chyb zatím není v katalogu CISA KEV a ani evropská databáze EUVD neuvádí jejich zneužívání.

Proč je to nebezpečné

Nejnebezpečnější je CVE-2026-17408, takzvané vkládání příkazů operačního systému. Představte si recepční, která zapíše jméno návštěvy přímo do pokynu pro ostrahu. Když návštěvník ke jménu připíše další pokyn, ostraha ho poslušně provede. Server se u této chyby chová podobně.

U CVE-2026-17408 a CVE-2026-16720 útočník podle hodnocení IBM nepotřebuje přihlášení ani spolupráci uživatele a útok vede přes síť. U CVE-2026-17399 musí být přihlášený, stačí ale účet s nízkými oprávněními. Úspěšný útok může útočníkovi umožnit spustit na serveru vlastní kód nebo vystupovat pod identitou jiných uživatelů. Hrozí i únik dat, která platforma spravuje. U SSRF se útočník může dostat ke zdrojům ve vnitřní síti, kam server dosáhne.

CVSS je stupnice závažnosti od 0 do 10. Tyto čtyři chyby ohodnotila sama IBM podle CVSS 3.1 na 9,3 až 9,9, což je kritická úroveň, a databáze NVD její hodnocení přebírá. Katalog CISA KEV vede americká agentura CISA a zapisuje do něj chyby s potvrzeným zneužíváním. Tyto chyby v něm zatím nejsou.

EPSS odhaduje pravděpodobnost, že chybu někdo zneužije v příštích 30 dnech. K 8. listopadu 2026 je u CVE-2026-17408 na úrovni 0,9 %, u ostatních tří mezi 0,4 a 0,8 %. Zní to málo, jde ale o čerstvě zveřejněné chyby a hodnota se může rychle změnit.

Koho se to týká

Zasaženy jsou verze IBM API Connect 10.0.8.0 až 10.0.8.12 a 12.1.0.0 až 12.1.1.2. Platí to pro všechny čtyři zmíněné chyby.

API Connect používají hlavně větší organizace, banky, pojišťovny, telekomunikační firmy nebo veřejná správa, které zpřístupňují své služby partnerům či mobilním aplikacím. Obvykle běží na Kubernetes nebo Red Hat OpenShift, případně jako virtuální zařízení ve VMware. Menší firmy se s ním častěji setkají nepřímo, přes dodavatele nebo integrátora, který platformu provozuje za ně.

Pokud API Connect nepoužíváte, tyto chyby se vás netýkají. Jiné verze IBM v popisu těchto chyb neuvádí. Máte-li starší větev, ověřte si u IBM, zda je ještě podporovaná.

Jak zjistit, zda jste zasaženi

Na Kubernetes nebo OpenShift zjistíte verzi z objektu APIConnectCluster. Následující příkazy jen čtou a nic nemění:

kubectl get apiconnectcluster -A

oc get apiconnectcluster -A

U instalace na VMware spusťte v adresáři projektu příkaz apicup version, který vypíše verzi instalačního nástroje. Ta obvykle odpovídá nainstalované verzi, přesné ověření subsystémů najdete v dokumentaci IBM.

apicup version

Pokud platformu spravuje dodavatel, vyžádejte si od něj přesné číslo verze a termín aktualizace. Porovnejte ho se seznamem zasažených verzí.

Jak to opravit

IBM vydala opravené verze: 10.0.8.13 pro větev 10.0.8 a 12.1.1.3 pro větev 12.1. Doporučený postup:

Sepište všechny instalace API Connect včetně testovacích a záložních prostředí.
Začněte těmi, jejichž rozhraní jsou dostupná z internetu, pak pokračujte interními.
Před aktualizací zálohujte subsystémy podle dokumentace IBM, hlavně správu (management) a portál.
Projděte si poznámky k vydání a postup aktualizace pro vaši formu nasazení (Kubernetes, OpenShift, VMware).
Pokud to jde, vyzkoušejte aktualizaci nejdřív v testovacím prostředí.
Aktualizujte na 10.0.8.13 nebo 12.1.1.3 a pak příkazy z předchozí sekce ověřte novou verzi.

Dočasné řešení, které by aktualizaci nahradilo, IBM v popisu těchto chyb neuvádí. Než aktualizujete, omezte přístup ke správcovským rozhraním, jako jsou Cloud Manager a API Manager, jen na interní síť nebo VPN. Projděte seznam uživatelských účtů a nepotřebné odstraňte. Tyto kroky riziko sníží, aktualizaci ale nenahradí.

Co když už jste mohli být napadeni

Konkrétní známky napadení IBM v bulletinech neuvádí. Pokud byla vaše instalace dostupná z internetu, vyplatí se zkontrolovat:

nové nebo neznámé uživatelské účty, organizace poskytovatelů a API klíče
neobvyklé nahrávání souborů nebo definic API v lozích subsystému správy
přihlášení z neobvyklých adres nebo v nezvyklou dobu
změny v konfiguraci brány (gateway), které nikdo neplánoval
spojení z API Connect na interní adresy, kam by server neměl přistupovat
neznámé procesy nebo soubory v kontejnerech či virtuálních zařízeních

Pokud něco z toho najdete, nejdřív si uložte logy a zálohy jako důkazy. Pak změňte hesla, tokeny a klíče včetně přístupů k připojené adresářové službě. Při jakémkoli podezření přizvěte odborníka na řešení incidentů nebo podporu IBM.

Zdroje

Články sestavuje AI agent z veřejných zdrojů (výrobci, CISA, ENISA, NVD, NÚKIB, SK-CERT) a čísla verzí i CVE proti nim automaticky ověřuje. Před zásahem do produkce si postup vždy ověřte v bulletinu výrobce.

IBM API Connect: kritické chyby mohou umožnit spustit kód na serveru i bez přihlášení