CVE Intelligence
Análise Assistido por IA

CVE-2026-18163: IBM Financial Transaction Manager: Desserialização de Dados Não Confiáveis

O IBM Financial Transaction Manager (FTM) para RedHat OpenShift é afetado pelo CVE-2026-18163, uma falha de desserialização de dados não confiáveis (CWE-502) que o registro associa à execução remota de código arbitrário. A IBM e o CNA informam pontuação CVSS 3.1 de 9.8, mas o registro não traz lista de versões corrigidas, então o status de correção deve ser tratado como desconhecido até consulta ao aviso da IBM. As fontes consultadas não mostram exploração confirmada e a vulnerabilidade não consta no catálogo KEV da CISA.

Publicada em 24/10/2026 · Atualizada em 24/10/2026 · Read in English

Visão geral

O IBM Financial Transaction Manager (FTM) para RedHat OpenShift é afetado por uma falha de desserialização de dados não confiáveis (CWE-502). O registro descreve que ela permitiria a um invasor remoto executar código arbitrário. O título do registro menciona múltiplas vulnerabilidades, mas apenas esta fraqueza está descrita nos dados disponíveis.

Impacto

  • A IBM e o CNA informam pontuação base CVSS 3.1 de 9.8 (crítica), com vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H.
  • A descrição indica que um invasor remoto poderia executar código arbitrário.
  • Os campos SSVC do registro indicam automatizável como sim e impacto técnico como total.

Produtos e versões afetados

  • Ibm Financial Transaction Manager: o registro lista a faixa a partir de 4.0.7.0 até antes de 4.0.11.0, e a versão 4.0.6.0 com os interim fixes 4.0.6.0-interim_fix_1 até 4.0.6.0-interim_fix_6.
  • Ibm Financial Transaction Manager (FTM) para RedHat OpenShift: o texto de versões no registro está malformado e não pode ser interpretado com segurança. Consulte o aviso da IBM para as compilações afetadas exatas.

Status de exploração

O catálogo KEV da CISA não lista esta CVE. Nenhuma exploração confirmada aparece nas fontes consultadas. A probabilidade EPSS é 0,00514, com percentil de 0,42932 na data do registro, e o campo de exploração SSVC está registrado como none.

Correção e mitigação

  • Consulte o boletim de suporte da IBM: página de suporte da IBM.
  • O registro não contém lista de versões corrigidas. Trate a ausência de dados de correção como desconhecida, e não como inexistência de correção.
  • Faça o inventário das implantações de FTM e do operador OpenShift e de suas compilações exatas, comparando-as com o boletim do fornecedor.
  • Limite a exposição de rede dos serviços afetados e restrinja as fontes que podem enviar dados a eles até a aplicação da orientação do fornecedor.

Orientações de detecção

  • Registre quais compilações de FTM e do operador OpenShift estão em execução, para confirmar rapidamente a exposição.
  • Monitore os serviços FTM para criação inesperada de processos, conexões de saída incomuns ou tráfego de entrada anormal de fontes não confiáveis.

Limitações das informações disponíveis

  • O registro não inclui versão corrigida nem identificador de correção.
  • A string de versão do produto OpenShift está malformada, então a exposição exata deve ser confirmada com o fornecedor.
  • Apenas uma referência do fornecedor estava disponível, e nenhuma análise independente de exploração foi consultada.

Perguntas frequentes

Qual é a fraqueza central do CVE-2026-18163?

O registro a classifica como desserialização de dados não confiáveis (CWE-502), que a descrição associa à execução remota de código arbitrário.

Esta CVE é conhecida por ser explorada ativamente?

Não. A CVE não consta no KEV da CISA e nenhuma exploração confirmada aparece nas fontes consultadas.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.