CVE-2026-90920: IBM Maximo AI Service - Injeção de código
A IBM divulgou uma falha de injeção de código (CWE-94) no IBM Maximo AI Service nas versões 9.1.0 e 9.2.0, que pode permitir que um atacante remoto execute código arbitrário. Os registros do NVD e do CVE listam pontuação base CVSS v3.1 de 9.8 (crítica), mas as fontes consultadas não mostram exploração confirmada. Organizações com as versões afetadas devem consultar o aviso de suporte da IBM e confirmar a correção aplicável antes de depender de qualquer medida de remediação.
Visão geral
As versões 9.1.0 e 9.2.0 do IBM Maximo AI Service são afetadas pelo CVE-2026-90920, classificado como CWE-94 (Injeção de código). O registro descreve controle impróprio da geração de código que poderia permitir a um atacante remoto executar código arbitrário. O registro foi publicado em 12/10/2026 e ainda aparece como Awaiting Analysis nos dados consultados.
Impacto
- As entradas do NVD e do PSIRT da IBM informam pontuação base CVSS v3.1 de 9.8 (Crítica), com vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H.
- O vetor descreve ataque pela rede, baixa complexidade, nenhum privilégio exigido e nenhuma interação do usuário, com alto impacto na confidencialidade, integridade e disponibilidade.
- Os dados SSVC do registro classificam o impacto técnico como total e a automatizabilidade como sim.
Produtos e versões afetadas
- IBM Maximo AI Service versão 9.1.0
- IBM Maximo AI Service versão 9.2.0
O registro não informa versões corrigidas. A referência da IBM está marcada como aviso do fornecedor e correção, mas o conteúdo dela não fazia parte do registro, portanto as versões corrigidas são desconhecidas.
Status de exploração
Esta vulnerabilidade não consta nos dados do catálogo KEV da CISA fornecidos. Não há exploração confirmada nas fontes consultadas. A probabilidade EPSS é 0.00544 (cerca de 0,54%), com percentil 0.44125, datada de 13/10/2026. O valor de exploração no SSVC é none.
Remediação e mitigação
- Identifique todas as instâncias do IBM Maximo AI Service que executam a versão 9.1.0 ou 9.2.0.
- Consulte o aviso de suporte da IBM para ver a correção do fornecedor ou orientações provisórias e aplique conforme o seu processo de mudanças.
- Como o vetor descreve acesso pela rede sem autenticação, priorize restringir a exposição do serviço a segmentos de rede confiáveis até concluir a correção.
- Se ainda não houver correção para a sua versão, acompanhe as atualizações do fornecedor e mantenha o serviço isolado de redes não confiáveis.
Orientações de detecção
- Monitore os hosts do serviço quanto à criação inesperada de processos, conexões de saída incomuns ou alterações inesperadas em arquivos da aplicação.
- Revise os logs de aplicação e de acesso em busca de requisições anômalas direcionadas a componentes de IA da plataforma.
- Cruze os alertas com o inventário de ativos para confirmar quais hosts executam as versões afetadas.
Limitações das informações disponíveis
- O registro não inclui versão corrigida, causa raiz técnica detalhada nem evidências de exploração.
- O componente específico do produto não é identificado na descrição.
- Detalhes da correção e eventuais contornos devem ser verificados diretamente com a IBM, pois o conteúdo do aviso não foi incluído no registro.
Perguntas frequentes
Quais versões do IBM Maximo AI Service são afetadas?
O registro lista as versões 9.1.0 e 9.2.0 do IBM Maximo AI Service como afetadas.
Existe versão corrigida disponível?
O registro não informa nenhuma versão corrigida. Consulte o aviso de suporte da IBM citado no registro para confirmar a correção da sua versão.
Há confirmação de exploração desta vulnerabilidade?
Ela não consta nos dados do catálogo KEV da CISA fornecidos, e não há exploração confirmada nas fontes consultadas.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.