A G W S
0%

IBM API Connect

IBM API Connect: iniezione XXE che può esporre informazioni sensibili

CVE-2026-16884 · CVE-2026-16720 · CVE-2026-17360 · CVE-2026-17301 · CVE-2026-18838 · CVE-2026-17344 · CVE-2026-17131 · CVE-2026-16918 · CVE-2026-17329 · CVE-2026-17280 · CVE-2026-17146 · CVE-2026-17410 · CVE-2026-17396 · CVE-2026-17353 · CVE-2026-17296 · CVE-2026-17291 Critica · 9.9
Prodotto
IBM API Connect
Pubblicata
7 novembre 2026
Gravità (CVSS)
9.9 / 10
Probabilità di sfruttamento nei prossimi 30 gg (EPSS)
0.8%

Il problema, secondo i dati ufficiali

  • In IBM API Connect una falla di tipo XML external entity (XXE) injection permette a un attaccante remoto di ottenere informazioni sensibili.
  • Secondo il punteggio ufficiale, si sfrutta via rete (quindi anche da internet, se il servizio è esposto), senza bisogno di un account.
  • La scheda raccoglie 16 vulnerabilità pubblicate lo stesso giorno sullo stesso prodotto: i dati sopra sono quelli della più grave.

Cosa fare

  • I dati ufficiali della CVE non indicano una versione corretta: segui l'avviso del produttore.
  • Se non puoi aggiornare subito, applica le misure temporanee indicate nell'avviso del produttore (a volte chiede di spegnere il servizio); se non ne indica e il servizio è raggiungibile da internet, limita chi può raggiungerlo (VPN o filtro degli indirizzi).

Versioni interessate

  • API Connect: dalla 12.1.0.0 alla 12.1.1.2 inclusa

Fonti ufficiali

Descrizione ufficiale (in inglese)

IBM API Connect 12.1.0.0 through 12.1.1.2 could allow a remote attacker to obtain sensitive information due to an XML external entity (XXE) injection.

Non sai se ti riguarda?

Se usi IBM API Connect e non sai quale versione hai, o hai un sito o un e-commerce da tenere al sicuro, possiamo controllarlo noi. Intanto puoi fare un primo controllo gratuito.

Intestazioni di sicurezza Controllo SSL Contattaci Tutte le allerte

Il riassunto del problema è scritto da un modello linguistico (Claude di Anthropic) a partire dalla descrizione ufficiale, e controllato in automatico contro di essa. Soluzione e versioni vengono solo dai dati ufficiali (CISA KEV, NVD, CVE.org, FIRST EPSS). Non è più tra le allerte recenti: i dati sono quelli dell'ultimo aggiornamento. Ultimo aggiornamento: 11 novembre 2026. Prima di intervenire verifica l'avviso del produttore.