Analyse en français

La vulnérabilité CVE-2026-123218 affecte IBM Aspera Faspex versions 5.0.0 à 5.0.19. Elle permet à un utilisateur autorisé de contourner les contrôles d'autorisation en envoyant un message spécifique afin d'obtenir des privilèges administratifs complets.

Impact

Un utilisateur déjà authentifié peut obtenir un accès administratif complet et prendre le contrôle de l'application et des données associées. La faille est activement exploitée selon la liste KEV de la CISA.

Que faire ?

Appliquer les correctifs ou mesures d'atténuation recommandés par IBM pour Aspera Faspex, en priorité sur les instances exposées à Internet. Si aucune mitigation n'est disponible, cesser d'utiliser le produit. Suivre les consignes CISA BOD 26-04 et évaluer l'exposition de chaque actif.

Analyse générée par IA le 11/11/2026 : vérifiez l'avis officiel de l'éditeur.

Exploitation active confirmée

Ajoutée au catalogue CISA KEV le 09/11/2026, correctif exigé avant le 12/11/2026 pour les agences fédérales américaines.

Action requise : Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.

Description officielle (NVD)

IBM Aspera Faspex 5.0.0 through 5.0.19 could allow an authorized user to craft a specific message to bypass user authorization and gain full administrative privileges.