Co se stalo
IBM 7. listopadu 2026 vydala bezpečnostní bulletin k systému IBM Aspera Faspex, který firmy používají k posílání a přijímání velkých souborů přes webové rozhraní. Chyba s označením CVE-2026-123218 umožňuje přihlášenému uživateli poslat speciálně připravenou zprávu, obejít kontrolu oprávnění a získat plná práva správce.
Americká agentura pro kybernetickou bezpečnost CISA 9. listopadu 2026 zařadila chybu do katalogu Known Exploited Vulnerabilities (KEV), tedy mezi zranitelnosti, které útočníci prokazatelně zneužívají. Evropská databáze zranitelností EUVD, kterou provozuje agentura ENISA, ji pod číslem EUVD-2026-118902 vede jako zneužívanou od 9. listopadu 2026.
Podle serveru The Hacker News zatím nejsou veřejně známé podrobnosti o tom, jak útoky probíhají, kdo za nimi stojí ani jaký mají rozsah. IBM vydala opravu ve verzi 5.0.19 PL1 a důrazně doporučuje aktualizovat okamžitě.
Proč je to nebezpečné
Jde o chybu typu „nesprávná autorizace“ (CWE-863). Systém sice ověří, kdo jste, ale v určité situaci špatně zkontroluje, co smíte dělat. Představte si budovu, kde vrátný u vchodu zkontroluje průkaz, ale pak už nikdo nehlídá, jestli zaměstnanec s kartou do skladu nevejde i do kanceláře ředitele.
IBM v popisu uvádí, že útočník musí být přihlášený uživatel. Stačí mu ale běžný účet a útok probíhá přes síť, tedy i přes internet, pokud je Faspex dostupný zvenku. Ve vektoru CVSS, který přidělila sama IBM, je přitom uvedeno, že žádná oprávnění potřeba nejsou. Bezpečnější je proto počítat s tím, že k útoku může stačit jakýkoli účet, například i účet externího partnera.
Kdo získá práva správce, ovládá celý systém: může vidět a stahovat přenášené soubory, měnit nastavení a zakládat nové účty. Protože přes Faspex často proudí citlivé dokumenty, smlouvy nebo data klientů, hrozí především jejich únik.
Skóre CVSS 9,8 z 10 podle verze CVSS 3.1 přidělila sama IBM a znamená kritickou závažnost. CVSS je mezinárodní stupnice, která hodnotí, jak vážná je chyba z technického pohledu.
Katalog CISA KEV obsahuje jen chyby, u kterých existují důkazy o skutečných útocích. Americké federální úřady musí tuto chybu odstranit do 12. listopadu 2026. Skóre EPSS, které odhaduje pravděpodobnost zneužití v příštích 30 dnech, bylo 9. listopadu 2026 jen 0,4 %, což je více než u zhruba 34 % hodnocených chyb. EPSS je ale pouze statistický odhad a potvrzené zneužívání z katalogu KEV má přednost.
Koho se to týká
Zranitelné jsou verze IBM Aspera Faspex 5.0.0 až 5.0.19. Jako opravenou platformu IBM uvádí Linux, kde Faspex 5 běží v kontejnerech.
Faspex používají firmy a organizace, které si s partnery, klienty nebo pobočkami vyměňují velké objemy dat. Pokud je server dostupný z internetu, například aby do něj mohli posílat soubory i externí uživatelé, je riziko vyšší.
Bulletin IBM uvádí jako zranitelnou pouze řadu Faspex 5. IBM jej ve své klasifikaci přiřazuje i ke službám jako IBM Aspera on Demand nebo IBM Aspera Faspex On Demand. Pokud je využíváte, ověřte si stav u podpory IBM.
Pokud Faspex vůbec nepoužíváte, tato chyba se vás netýká. Myslete ale i na zapomenuté testovací instalace nebo systémy, které pro vás spravuje dodavatel.
Jak zjistit, zda jste zasaženi
Verzi můžete ověřit ve webové administraci Faspexu po přihlášení jako správce. Pokud máte přístup na server, zjistíte ji i z kontejnerů. Následující příkazy nic nemění, pouze vypisují informace:
docker ps --format '{{.Names}} {{.Image}}' | grep -i faspexdocker images | grep -i faspex-corePokud místo Dockeru používáte Podman, nahraďte docker příkazem podman. Verze 5.0.19 nebo nižší bez Fix Pack 1 je zranitelná. Opravená instalace má podle IBM image faspex-core ve verzi 5.0.19 (1ce4b13, Fix Pack: 1). Pokud výpis Fix Pack neukazuje, ověřte ho postupem, na který odkazuje bulletin IBM.
Zjistěte také, zda je webové rozhraní Faspexu dostupné z internetu. Pokud ano, má aktualizace nejvyšší prioritu.
Jak to opravit
IBM chybu opravila ve verzi IBM Aspera Faspex 5.0.19 PL1 pro Linux a důrazně doporučuje aktualizovat ihned. Dočasné řešení ani náhradní opatření výrobce neuvádí, jedinou skutečnou ochranou je tedy aktualizace.
Doporučený postup:
- Sepište všechny instalace Faspexu včetně testovacích a začněte těmi, které jsou dostupné z internetu.
- Před aktualizací si udělejte zálohu nebo snapshot serveru a konfigurace.
- Aktualizujte na verzi 5.0.19 PL1 podle postupu, na který odkazuje bezpečnostní bulletin IBM.
- Po aktualizaci ověřte, že image
faspex-coremá verzi 5.0.19 (1ce4b13, Fix Pack: 1). - Hned poté zkontrolujte, zda systém nebyl napaden, jak popisuje následující část.
Pokud nemůžete aktualizovat okamžitě, oficiální náhradu IBM nenabízí. Rozumným obecným krokem je dočasně omezit přístup k Faspexu z internetu, například jen přes VPN nebo ze známých IP adres, případně službu do aktualizace vypnout. CISA americkým federálním úřadům ukládá, že pokud opatření nejsou dostupná, mají produkt přestat používat.
Co když už jste mohli být napadeni
Útoky už probíhají, ale podrobnosti o nich zatím nejsou veřejně známé a IBM v bulletinu neuvádí konkrétní indikátory napadení. Podívejte se proto hlavně na stopy zneužití správcovských práv:
- neznámé účty správců nebo běžné účty, které nečekaně získaly vyšší práva,
- nové účty, API klíče či integrace, které nikdo z vás nezaložil,
- změny nastavení, například přihlašování, notifikací nebo úložišť,
- neobvyklé stahování balíčků a souborů, zejména z neznámých IP adres nebo mimo pracovní dobu,
- podezřelé záznamy v logech kontejnerů Faspexu, na reverzní proxy a na firewallu.
docker logs <nazev_kontejneru> 2>&1 | lessPokud najdete cokoli podezřelého, nic nemažte a přizvěte odborníka na řešení incidentů, aby se zachovaly stopy. Pokud mohlo dojít k úniku osobních údajů, posuďte povinnost ohlásit incident podle GDPR do 72 hodin. Po vyčištění změňte hesla správců i integrační klíče.