CVE-2026-96012: IBM Db2 Mirror for i: escalonamento de privilégios
A IBM divulgou uma falha de escalonamento de privilégios no Db2 Mirror for i nas versões 7.4, 7.5 e 7.6, classificada como crítica com pontuação CVSS 3.1 de 9.9. A exploração exige um atacante autenticado e poderia levar a privilégios elevados no sistema afetado. Nas fontes consultadas não há exploração confirmada, e o registro não informa versões corrigidas, por isso o aviso do fornecedor deve ser consultado.
Visão geral
A IBM publicou a CVE-2026-96012 para o Db2 Mirror for i 7.4, 7.5 e 7.6. O registro classifica a falha como CWE-264 (permissões, privilégios e controles de acesso) e descreve escalonamento de privilégios por um usuário autenticado. A página de suporte da IBM é a referência do fornecedor marcada com informações de correção.
Impacto
O registro na NVD classifica o problema como crítico, com pontuação base CVSS 3.1 de 9.9. O vetor indica ataque pela rede, baixa complexidade, baixo privilégio exigido, nenhuma interação do usuário, mudança de escopo e alto impacto na confidencialidade, integridade e disponibilidade. Na prática, um usuário com conta válida poderia potencialmente obter privilégios elevados no sistema. Essa é uma leitura analítica do vetor, e não um resultado testado.
Produtos e versões afetadas
- IBM Db2 Mirror for i versão 7.4
- IBM Db2 Mirror for i versão 7.5
- IBM Db2 Mirror for i versão 7.6
O registro não informa versões corrigidas. A ausência dessa informação não significa que não exista correção, por isso o aviso do fornecedor deve ser consultado para os níveis de correção.
Status de exploração
O registro mostra que esta CVE não consta no catálogo KEV da CISA, e nas fontes consultadas não há exploração confirmada. Os campos SSVC indicam exploração como nenhuma e automatizável como não. A probabilidade EPSS é 0,00509, com percentil 0,41796 em 13/10/2026. Trata-se de uma estimativa estatística de probabilidade de exploração, e não de evidência de ataques.
Correção e mitigação
- Revise o aviso da IBM e planeje aplicar as correções do fornecedor compatíveis com a sua release do Db2 Mirror for i.
- Até a aplicação da correção, limite quais contas possuem credenciais válidas nos sistemas com Db2 Mirror for i, seguindo o princípio do menor privilégio.
- Audite contas com autoridade elevada e remova acessos desnecessários.
- Priorize sistemas com grande população interna de usuários, dada a classificação crítica.
Orientações de detecção
- Monitore eventos de autenticação e autorização em busca de mudanças incomuns de privilégio ou acesso a objetos restritos.
- Revise registros em busca de elevação inesperada de perfis de usuário ou de novas autoridades administrativas.
- Compare a atividade do espelho do banco de dados com linhas de base normais para identificar anomalias.
Limitações das informações disponíveis
O registro não traz detalhes de versões corrigidas. O conteúdo do aviso do fornecedor não foi analisado nesta análise. O registro também não informa se a falha é alcançável em configurações padrão, portanto esse ponto permanece desconhecido.
Perguntas frequentes
Quais versões do Db2 Mirror for i são afetadas?
O registro indica as versões 7.4, 7.5 e 7.6 do IBM Db2 Mirror for i. Consulte o aviso do fornecedor para confirmar o escopo exato da sua release.
Esta vulnerabilidade está sendo explorada ativamente?
O registro mostra que ela não consta no catálogo KEV da CISA, e nas fontes consultadas não há exploração confirmada. O acompanhamento deve continuar conforme surgirem novas informações.
O registro traz uma versão corrigida?
Não. O registro não informa versões corrigidas, mas inclui uma referência do fornecedor marcada com informações de correção. Consulte esse aviso para detalhes de correção.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.