IBM Aspera Faspex
IBM Aspera Faspex: un utente autorizzato può ottenere privilegi di amministratore, già sfruttata
CVE-2026-123218 Già sfruttata Critica · 9.8
Il problema, secondo i dati ufficiali
- Un utente autorizzato può creare un messaggio specifico per aggirare i controlli di autorizzazione degli utenti in IBM Aspera Faspex.
- In questo modo può ottenere privilegi amministrativi completi sul prodotto.
- La descrizione parla di un utente autorizzato, quindi serve un accesso valido al servizio.
- È già usata in attacchi reali: la CISA l'ha inserita nel catalogo delle vulnerabilità sfruttate il 09/11/2026.
- Secondo la CISA l'attacco si può automatizzare.
Cosa fare
- I dati ufficiali della CVE non indicano una versione corretta: segui l'avviso del produttore.
- Se non puoi aggiornare subito, applica le misure temporanee indicate nell'avviso del produttore (a volte chiede di spegnere il servizio); se non ne indica e il servizio è raggiungibile da internet, limita chi può raggiungerlo (VPN o filtro degli indirizzi).
- Se è stato esposto, controlla anche che nessuno sia già entrato: utenti nuovi, file modificati, accessi strani nei log.
Versioni interessate
- Aspera Faspex: dalla 5.0.0 alla 5.0.19 inclusa
Ne parlano
- IBM Aspera Faspex, SignalWire FreeSwitch Vulnerabilities Exploited in Attacks — SecurityWeek, 10 novembre 2026
- CISA Warns of Active Exploitation of OpenSSH, GPUStack, FreeSWITCH, and IBM Flaws — The Hacker News, 10 novembre 2026
Fonti ufficiali
- www.ibm.com — avviso del produttore
- nvd.nist.gov — avviso del produttore
Descrizione ufficiale (in inglese)
IBM Aspera Faspex 5.0.0 through 5.0.19 could allow an authorized user to craft a specific message to bypass user authorization and gain full administrative privileges.
Non sai se ti riguarda?
Se usi IBM Aspera Faspex e non sai quale versione hai, o hai un sito o un e-commerce da tenere al sicuro, possiamo controllarlo noi. Intanto puoi fare un primo controllo gratuito.
Il riassunto del problema è scritto da un modello linguistico (Claude di Anthropic) a partire dalla descrizione ufficiale, e controllato in automatico contro di essa. Soluzione e versioni vengono solo dai dati ufficiali (CISA KEV, NVD, CVE.org, FIRST EPSS). Ultimo aggiornamento: 13 novembre 2026. Prima di intervenire verifica l'avviso del produttore.