A CISA colocou a CVE-2026-123218 no catálogo de vulnerabilidades exploradas, e a IBM recomenda atualizar imediatamente o Aspera Faspex. A falha de autorização permite que um usuário autenticado envie uma mensagem especialmente criada para contornar controles e obter privilégios administrativos completos.
O problema recebeu CVSS 3.1 de 9,8, nível crítico. Embora o cenário descrito exija um usuário autenticado, a exploração ativa e a possibilidade de elevação para administrador tornam a correção prioritária em ambientes que utilizam o Faspex para transferência e distribuição de arquivos.
O que é a CVE-2026-123218
O IBM Aspera Faspex contém uma falha de autorização incorreta, classificada como CWE-863. Um usuário autorizado pode criar uma mensagem específica que faz o sistema ignorar uma verificação de autorização. Como resultado, o usuário pode obter privilégios administrativos completos.
O vetor CVSS informado pela IBM é AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H. Em termos práticos, a exploração ocorre pela rede, não exige interação adicional de outra vítima e pode afetar confidencialidade, integridade e disponibilidade do serviço.
O requisito de autenticação não deve ser interpretado como proteção suficiente. Uma conta legítima obtida por phishing, reutilização de senha, vazamento de credenciais ou comprometimento de outro sistema pode fornecer o ponto de entrada para a elevação de privilégios.
Versões afetadas e correção
A IBM identifica como afetado o IBM Aspera Faspex nas versões 5.0.0 até 5.0.19, em Linux. A versão corrigida é o IBM Aspera Faspex 5.0.19 PL1.
Em instalações baseadas em containers, a IBM orienta validar se a imagem faspex-core está em 5.0.19, identificada como 1ce4b13, com Fix Pack 1. A atualização deve seguir as instruções oficiais de patching das imagens de container do Aspera Faspex.
O boletim da IBM não informa workaround. Por isso, restringir temporariamente o acesso reduz a exposição, mas não substitui a atualização para o Fix Pack corrigido.
Por que a exploração merece atenção
O Faspex é utilizado para compartilhar arquivos em fluxos corporativos. A obtenção de privilégios administrativos pode permitir alterar configurações, acessar informações, controlar contas e interferir no processamento de arquivos. O impacto real depende da arquitetura, das integrações e dos privilégios concedidos ao serviço.
A CISA adicionou a vulnerabilidade ao KEV em 9 de novembro de 2026 com prazo de correção em 12 de novembro. O catálogo também marca a necessidade de triagem forense. Isso significa que a organização deve verificar possíveis sinais de comprometimento, e não apenas instalar o patch.
A CISA não classifica a CVE como conhecida por uso em campanhas de ransomware. Não há base, nas fontes consultadas, para afirmar uma campanha específica ou atribuir a exploração a um grupo determinado.
O que os administradores devem fazer
Atualize para o Faspex 5.0.19 PL1. Faça o procedimento conforme a documentação da IBM e confirme o resultado no ambiente em execução. Em instalações containerizadas, verifique especificamente a imagem faspex-core e o identificador do Fix Pack, em vez de confiar apenas na etiqueta geral da aplicação.
Faça o inventário das instâncias. Localize ambientes de produção, homologação, disaster recovery, instalações antigas e serviços expostos por balanceadores ou proxies. Confirme a versão efetiva de cada instância e não presuma que uma imagem nova tenha sido propagada para todos os nós.
Restrinja o acesso até a atualização. Limite a interface administrativa e os endpoints do Faspex a redes corporativas, VPNs ou bastion hosts. Revise regras de firewall e proxies reversos. Essa medida é temporária e não corrige a falha na autorização.
Reforce as contas privilegiadas. Revise usuários administrativos, contas de serviço, sessões ativas, tokens, chaves e integrações. Remova contas que não são mais necessárias e aplique autenticação forte nos mecanismos suportados pelo ambiente.
Preserve evidências antes de limpar o ambiente. Guarde logs da aplicação, do container, do proxy, do balanceador e do sistema operacional. Registre horários de logins, alterações administrativas, mensagens criadas, downloads, uploads e mudanças de configuração.
Como investigar possível exploração
Procure contas que tenham recebido privilégios administrativos recentemente, mudanças inesperadas em configurações e acessos fora do padrão operacional. Correlacione essas ações com mensagens ou operações criadas por usuários que normalmente não executam tarefas administrativas.
Verifique também alterações em imagens, containers, volumes, arquivos compartilhados, integrações e credenciais usadas pelo Faspex. Compare o estado atual com uma configuração conhecida e confiável. A investigação deve incluir contas legítimas comprometidas, pois a falha descrita pela IBM parte de um usuário autorizado.
Se houver evidência de elevação indevida, isole a instância conforme o plano de resposta, preserve os artefatos e faça a rotação das credenciais que possam ter sido acessadas. Não apague logs ou recrie containers antes de coletar as evidências necessárias.
Conclusão
A CVE-2026-123218 é uma falha crítica de autorização no IBM Aspera Faspex 5.0.0 a 5.0.19. Um usuário autenticado pode enviar uma mensagem especialmente criada, contornar a autorização e obter privilégios administrativos completos.
A correção oficial é o Faspex 5.0.19 PL1. Como a CISA confirmou exploração ativa, marcou prazo em 12 de novembro e exige triagem forense, as organizações devem atualizar, validar a imagem efetiva do container, restringir o acesso durante a manutenção e investigar possíveis elevações de privilégio anteriores ao patch.
Fontes primárias
IBM Security Bulletin: IBM Aspera Faspex has addressed a vulnerability that could allow authorization bypass.
CISA: CISA Adds Four Known Exploited Vulnerabilities to Catalog.
CISA KEV: Known Exploited Vulnerabilities Catalog.
CVE.org: CVE-2026-123218 — IBM Aspera Faspex Authorization Bypass.