CVE-2026-13772: IBM WebSphere Extreme Scale: reflexão insegura no motor OQL
Uma falha crítica no motor Object Query Language do IBM WebSphere Extreme Scale, versões 8.6.1.0 a 8.6.1.6, permite que nomes de classes influenciados externamente sejam instanciados sem lista de permissão. A NVD atribui 9,9 (CVSS 3.1) e o CNA da IBM informa 7,5. O registro não mostra inclusão no catálogo KEV da CISA e não há exploração confirmada nas fontes consultadas.
Visão geral
As versões 8.6.1.0 até 8.6.1.6 do IBM WebSphere Extreme Scale contêm uma fraqueza de reflexão insegura (registrada como CWE-470) no motor Object Query Language. Nomes de classes que podem ser influenciados por strings OQL montadas pela aplicação são resolvidos e instanciados sem lista de permissão.
Impacto
O vetor da NVD CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H descreve um ataque acessível pela rede, que exige privilégios baixos, envolve mudança de escopo e tem alto impacto em confidencialidade, integridade e disponibilidade. O registro afirma que um atacante autenticado que possa influenciar uma consulta OQL montada pela aplicação pode levar construtores a serem executados na JVM do WebSphere. O registro também diz que um caminho relacionado pode persistir através das fronteiras dos nós da grade, apesar dos filtros de serialização JEP-290.
- A NVD classifica o impacto em confidencialidade, integridade e disponibilidade como alto.
- A pontuação 7,5 do CNA da IBM difere da pontuação 9,9 da NVD; o registro não explica a diferença.
Produtos e versões afetadas
- IBM WebSphere Extreme Scale, versões 8.6.1.0 até 8.6.1.6 inclusive, segundo o registro.
- O registro não informa uma versão corrigida. O aviso do fabricante deve ser consultado para os níveis remediados.
Status de exploração
O CVE não consta no catálogo KEV da CISA neste registro, portanto a exploração ativa não é demonstrada. Não há exploração confirmada nas fontes consultadas. O registro informa probabilidade EPSS de 0,0051 e percentil de 0,41867.
Correção e mitigação
- Consulte o aviso de suporte da IBM indicado abaixo para os níveis corrigidos e aplique as atualizações do fabricante assim que estiverem disponíveis para o seu ambiente.
- Até a conclusão da correção, restrinja quais usuários e componentes podem fornecer valores usados na montagem de strings OQL e revise o código da aplicação que insere dados externos em consultas.
- Limite a exposição de rede das interfaces de grade e administrativas e aplique o princípio do menor privilégio às contas autenticadas.
Orientações de detecção
- Revise os logs da aplicação em busca de textos de consulta OQL incomuns ou malformados e de erros de consulta que citem nomes de classes inesperados.
- Monitore a JVM do WebSphere em busca de carregamento de classes inesperado ou comportamento anormal, e correlacione com eventos de autenticação das contas que interagem com a grade.
Limitações das informações disponíveis
- O registro não contém versão corrigida, nome da CWE nem orientações detalhadas de configuração do fabricante.
- A viabilidade de exploração depende do desenho da aplicação, que o registro não descreve.
- A data do EPSS no registro (2026-10-13) é posterior à data de publicação (2026-06-30); ela é informada conforme recebida.
Perguntas frequentes
O CVE-2026-13772 está sendo explorado ativamente?
O registro não o inclui no catálogo KEV da CISA, e não há exploração confirmada nas fontes consultadas.
Quais versões são afetadas?
Segundo o registro, as versões 8.6.1.0 até 8.6.1.6 do IBM WebSphere Extreme Scale são afetadas. O registro não informa versão corrigida.
Por que as pontuações de severidade diferem?
A NVD informa CVSS 3.1 de 9,9, enquanto o CNA da IBM informa 7,5. O registro não explica a diferença.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.