CVE-2026-18162: Injeção de Código no IBM Financial Transaction Manager para OpenShift
A CVE-2026-18162 afeta o IBM Financial Transaction Manager (FTM) e sua implantação no Red Hat OpenShift. O registro descreve neutralização inadequada de entrada controlada pelo usuário no novo construtor Function, classificada como injeção de código (CWE-94), com pontuação base CVSS 3.1 de 9,8. O registro não confirma exploração, e o aviso do fornecedor é a fonte para os detalhes de correção.
Visão geral
O IBM Financial Transaction Manager (FTM) para Red Hat OpenShift é afetado pela CVE-2026-18162, classificada como injeção de código (CWE-94). Segundo o registro, a neutralização inadequada de entrada controlada pelo usuário no novo construtor Function poderia permitir que um invasor remoto executasse código arbitrário.
Impacto
- Confirmado pelo registro: a pontuação base CVSS 3.1 é 9,8 (crítica), com vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, indicando alto impacto na confidencialidade, integridade e disponibilidade.
- Inferência: um ataque bem-sucedido poderia executar código no contexto da aplicação afetada.
Produtos e versões afetadas
- IBM Financial Transaction Manager: o registro lista um intervalo de 4.0.7.0 até, mas sem incluir, 4.0.11.0, além da versão 4.0.6.0 e de diversas correções provisórias (interim fixes) da 4.0.6.0.
- IBM FTM para Red Hat OpenShift: o registro informa 4.0.6.0 como limite inferior, mas o texto do limite superior está malformado e não pode ser interpretado com segurança. Consulte o aviso do fornecedor.
Status de exploração
O registro indica que esta CVE não consta no catálogo KEV da CISA, portanto não há exploração ativa confirmada. O campo de exploração do SSVC é 'none', e a probabilidade EPSS é 0,00478 (percentil 0,40307, data 2026-10-23). Nenhuma exploração confirmada aparece nas fontes consultadas.
Correção e mitigação
- Analise o aviso de suporte da IBM e aplique a correção ou a correção provisória recomendada para o seu produto e versão.
- O registro não contém lista de versões corrigidas, então as informações de correção devem ser obtidas no aviso do fornecedor.
- Limite a exposição de rede dos serviços FTM e restrinja quem pode fornecer entrada à funcionalidade afetada até a aplicação da correção.
Orientação para detecção
- Monitore os logs da aplicação em busca de erros inesperados de avaliação de código ou padrões incomuns de entrada nos serviços afetados.
- Observe criação inesperada de processos ou conexões de saída a partir dos hosts FTM.
Limitações das informações disponíveis
- A lista de correções no registro está vazia.
- O texto de versões afetadas está parcialmente corrompido, então os limites exatos devem ser verificados junto à IBM.
- O registro não contém detalhes de exploração nem prova de conceito.
Perguntas frequentes
O que é a CVE-2026-18162?
É uma vulnerabilidade de injeção de código (CWE-94) no IBM Financial Transaction Manager e na sua implantação no Red Hat OpenShift. Segundo o registro, ela decorre da neutralização inadequada de entrada controlada pelo usuário no novo construtor Function.
Qual é a gravidade?
O registro informa pontuação base CVSS 3.1 de 9,8 (crítica), com vetor de rede e sem necessidade de privilégios ou interação do usuário.
Ela está sendo explorada ativamente?
O registro não a lista no KEV da CISA, então não há exploração ativa confirmada. Nenhuma exploração confirmada aparece nas fontes consultadas.
Quais versões são afetadas?
O registro lista um intervalo de 4.0.7.0 até, mas sem incluir, 4.0.11.0, além da versão 4.0.6.0 e de correções provisórias da 4.0.6.0 para o IBM Financial Transaction Manager. O limite superior do OpenShift está malformado, então consulte o aviso da IBM.
O que devo fazer agora?
Analise o aviso da IBM, aplique a correção recomendada para a sua versão e limite a exposição dos serviços afetados até poder aplicar a correção.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.