IBM'den dört kurumsal üründe kritik açık: DataStage, Process Mining, Optim ve WebSphere eXtreme Scale
IBM, 8 Kasım'da DataStage on Cloud Pak for Data, Process Mining, Optim ve WebSphere eXtreme Scale için CVSS 9.1 ile 9.9 arasında puanlanan dört açığı duyurdu. Açıkların çoğu hassas bilgi sızıntısına yol açıyor; aktif istismar bildirimi yok.
CVE-2026-107331, CVE-2026-114464, CVE-2026-17466
IBM, 8 Kasım'da veri entegrasyonu, süreç analitiği, test verisi yönetimi ve dağıtık önbellek ürünlerini kapsayan dört güvenlik bülteni yayımladı. Bültenlerdeki dört açığın CVSS puanı 9.1 ile 9.9 arasında. En yüksek puanlı açık DataStage on Cloud Pak for Data'da. Açıkların hiçbiri CISA KEV kataloğunda yer almıyor ve aktif istismar bildirimi yok.
Bu açıklar, masanın dün işlediği IBM Concert komut çalıştırma açıklarıyla aynı gün yayımlanan IBM bülten dalgasının parçası.
CVE-2026-107331(CVSS 9.9), DataStage on Cloud Pak for Data: Mutlak yol (absolute path traversal) açığı. Kimliği doğrulanmış uzak bir saldırgan, sunucudaki hassas bilgilere erişebiliyor.CVE-2026-114464(CVSS 9.3), Process Mining: Hatalı erişim denetimi. Uzak bir saldırgan hassas bilgi elde edebiliyor; IBM'in özetinde kimlik doğrulama şartı geçmiyor.CVE-2026-17466(CVSS 9.1), Optim: Path traversal açığı. Kimliği doğrulanmış uzak bir saldırgan hassas bilgi elde edebiliyor.CVE-2026-101117(CVSS 9.1), WebSphere eXtreme Scale: Content Security Policy (CSP) yapılandırması hatalı olduğu için uzak bir saldırgan güvenlik kısıtlamalarını aşabiliyor.
Etkilenen ve düzeltilmiş sürümler
| Ürün | CVE | Etkilenen | Düzeltme |
|---|---|---|---|
| IBM DataStage on Cloud Pak for Data | CVE-2026-107331 | 5.4.0.0 | IBM bülteni 7294270'teki düzeltme |
| IBM Process Mining | CVE-2026-114464 | 2.0.0 – 2.2.1 | IBM bülteni 7294875'teki düzeltme |
| IBM Optim | CVE-2026-17466 | 1.0.0, 1.1.0, 1.2.0 | IBM bülteni 7289719'daki düzeltme |
| IBM WebSphere eXtreme Scale | CVE-2026-101117 | 8.6.1.0 – 8.6.2.2 | IBM bülteni 7293764'teki düzeltme |
Düzeltilmiş sürüm ve fix pack numaraları için üretici bildirimindeki liste esas alınmalı.
Beni etkiliyor mu?
Bu ürünlerden birini yukarıdaki sürümlerle çalıştırıyorsanız etkileniyorsunuz. Cloud Pak for Data üzerinde kurulu servisleri ve sürümlerini salt okunur olarak listeleyebilirsiniz:
kubectl get pods -A | grep -i datastage
kubectl get csv -A | grep -i -E "datastage|cpd"Process Mining, Optim ve WebSphere eXtreme Scale için ürün yönetim arayüzündeki ya da kurulum kayıtlarındaki sürüm bilgisini kontrol edin.
İnternete açık ya da çok kullanıcılı ortamlarda çalışan kurulumlar önceliklidir. DataStage ve Optim açıkları kimlik doğrulama gerektirdiği için, bu ürünlere geniş bir kullanıcı kitlesinin eriştiği ortamlarda risk daha yüksek.
Ne yapılmalı?
- Dört ürünün envanterini çıkarın ve sürümleri tablodaki etkilenen aralıklarla karşılaştırın.
- İlgili IBM bültenindeki düzeltmeyi (fix, fix pack ya da yeni sürüm) uygulayın. Uygulamayı change management sürecine kaydedin.
- Patch hemen uygulanamıyorsa ürün arayüzlerine erişimi ağ seviyesinde yalnızca yetkili yönetim ağlarına daraltın ve gereksiz kullanıcı hesaplarını gözden geçirin.
- DataStage ve Optim erişim kayıtlarında beklenmeyen dosya yolu içeren istekleri, Process Mining'de ise yetkisiz kullanıcıların veri sorgularını arayın.
- Hardening kapsamında bu ürünlerin yönetim arayüzlerinin internete doğrudan açık olmadığını doğrulayın.
