A IBM corrigiu uma vulnerabilidade de alta gravidade no API Connect Analytics identificada como CVE-2026-18535. O problema combina um possível ataque de negação de serviço por expressões regulares — ReDoS — com neutralização inadequada de operadores curinga em consultas.
O boletim da IBM atribui à falha pontuação CVSS 9,6. A correção está disponível no IBM API Connect V12 OnPrem 12.1.1.3. As versões 12.1.0.0 a 12.1.1.2 aparecem como afetadas, e a IBM não informa um workaround para substituir a atualização.
O que é a CVE-2026-18535
A falha afeta o componente analytics-v2-director do API Connect Analytics. Segundo a IBM, ele pode ser submetido a um ataque ReDoS e também processar de forma inadequada operadores curinga em consultas.
Um ataque ReDoS explora padrões de expressão regular que exigem tempo excessivo de processamento quando recebem uma entrada especialmente construída. Em um serviço de analytics, isso pode consumir CPU e atrasar ou interromper o atendimento de requisições legítimas.
A segunda parte do problema envolve a neutralização inadequada de operadores curinga. Dependendo da consulta, dos dados acessíveis e dos controles de autorização, uma entrada manipulada pode ampliar a busca além do comportamento esperado. O boletim IBM não fornece detalhes suficientes para afirmar uma técnica específica de extração de dados, por isso o artigo não descreve uma exploração operacional.
Produtos e versões afetadas
| Produto | Versões afetadas | Correção |
|---|---|---|
| IBM API Connect V12 OnPrem | 12.1.0.0 até 12.1.1.2 | Atualizar para 12.1.1.3 |
A IBM lista a vulnerabilidade no contexto do API Connect Analytics, especialmente no componente analytics-v2-director. A versão do produto e a exposição da camada Analytics devem ser confirmadas no inventário antes da mudança.
Como interpretar o CVSS 9,6
O vetor publicado pela IBM é CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:N/A:H. Ele indica que o serviço pode ser alcançado pela rede, que a complexidade é baixa e que não é necessária interação do usuário. A referência de cálculo considera privilégio baixo, representado por PR:L.
A pontuação alta não significa que todo servidor exposto será comprometido automaticamente. O impacto depende da configuração, da autenticação, da rede, dos dados disponíveis e dos controles de isolamento. O número, porém, justifica priorizar a atualização e não esperar um incidente para agir.
Recomendações imediatas
Atualize para a versão 12.1.1.3. Planeje a atualização conforme a documentação IBM, faça backup das configurações e valide a compatibilidade dos componentes antes da janela de mudança.
Mapeie o componente Analytics. Identifique quais instalações usam o analytics-v2-director, quais interfaces são acessíveis pela rede e quais usuários possuem o privilégio mínimo capaz de consultar dados ou executar operações analíticas.
Restrinja a exposição. Até concluir a atualização, mantenha o serviço Analytics atrás de controles de rede e permita acesso somente de redes e identidades necessárias. Não trate essa medida como substituta do patch.
Revise consultas e entradas. Procure requisições com curingas excessivos, padrões anormais, parâmetros muito longos e picos de uso de CPU ou latência no serviço de Analytics. Os sinais não comprovam exploração, mas ajudam a priorizar a investigação.
Proteja a disponibilidade. Monitore filas, tempo de resposta, consumo de CPU e reinícios do componente. Configure limites de taxa no gateway quando isso for compatível com a aplicação, sem bloquear consultas legítimas essenciais.
Orientações para equipes de segurança
Relacione o inventário de versões com os logs do API Connect, gateway, identidade e infraestrutura. Dê prioridade a instâncias que expõem endpoints Analytics à internet ou a redes amplas, e a ambientes que concentram dados de várias APIs ou unidades de negócio.
Verifique se o privilégio baixo citado no vetor pode ser obtido por contas de integração, usuários temporários ou credenciais reutilizadas. Remova contas sem uso, aplique menor privilégio e exija autenticação forte no acesso administrativo e analítico.
Se houver indícios de abuso, preserve logs de consulta, origem, identidade, parâmetros e consumo de recursos. Isole a instância conforme o plano de resposta e evite apagar evidências ao reiniciar serviços. Depois da atualização, revise tokens e credenciais associados a contas que acessavam a plataforma.
A IBM não informa exploração ativa da CVE no boletim consultado. Portanto, não classifique o caso como zero-day ou ataque confirmado. A prioridade decorre do impacto potencial, da pontuação CVSS e da existência de uma versão corrigida.
Conclusão
A CVE-2026-18535 afeta o API Connect Analytics e pode permitir ReDoS e processamento inadequado de operadores curinga em consultas. A IBM atribui CVSS 9,6 e corrige o problema no API Connect V12 OnPrem 12.1.1.3.
Atualize as versões 12.1.0.0 a 12.1.1.2, restrinja a exposição do Analytics enquanto a mudança não for concluída e monitore consultas e consumo de recursos. Como a IBM não lista workaround, controles de rede e limites operacionais devem ser tratados apenas como redução temporária de exposição.
Fontes primárias
IBM Security Bulletin: Multiple Vulnerabilities in IBM API Connect.
IBM Fix Central: Correções e downloads do IBM API Connect.
CVE.org: CVE-2026-18535.