IBM Verify Identity Access 修复 22 个漏洞：两个 9.8 严重 RCE 无需认证

一次补丁二十二道口子被同时缝上。真正让人睡不着的是其中两道连“敲门”都省了攻击者不必拥有账号不必骗用户点链接也不必在边界外反复试探只要目标还跑着受影响的 IBM Verify Identity Access 或 IBM Security Verify Access就可能被一串经过伪装的数据直接推进远程代码执行。CVE-2026-78401 与 CVE-2026-78406 的 CVSS 都停在 9.8这已经不是“建议关注”的级别而是把身份与访问控制这条防线从地基处撬开。这两个严重漏洞的共同关键词是反序列化。听起来像开发术语落到现实里却很粗暴系统把外部送来的数据重新拼回对象时少了关键校验恶意内容便可能顺势变成可执行逻辑。IBM 对它们的定级很直白——网络可达、攻击复杂度低、无需权限、无需用户交互。换句话说暴露在受影响端点上的设备与容器部署面对的不再是“可能被打穿”的概率题而是“何时被打穿”的时间题。也必须把话说稳高危评级描述的是潜在后果与攻击门槛并不等于公告承认已发现野外利用。公开信息没有点名脆弱端点也没有给出完整攻击链更没有确认入侵事件。可正因为如此防守方才不能等 PoC 满天飞才动手。身份网关类产品通常蹲在登录、授权、会话与策略执行的咽喉位置一旦被远程代码执行命中数据机密性、完整性和服务可用性会同时失血横向移动也只是顺手的事。这波修复并不只盯着两个“9.8”。三个 9.1 级漏洞同样值得放进变更窗口CVE-2026-16916 指向保护机制失效已认证的高权限远程攻击者可借执行任意代码CVE-2026-16823 可绕过安全限制CVE-2026-19491 则关系身份验证绕过。它们不像反序列化那对“无门票入场”的组合需要不同程度的访问条件但一旦被串进同一条攻击路径后果并不会因为起点多一步而变轻。再往下参数注入类问题 CVE-2026-18740 与 CVE-2026-19482 均为 8.8允许已认证远程攻击者执行未授权操作或任意命令CVE-2026-19493 评分 7.5风险落在路径遍历写文件。名单里还能看到跨站脚本、SQL 注入、跨站请求伪造以及审计日志伪造、授权检查错误、认证工作流绕过、快照管理器容器信息泄露等一串并不起眼却足够拖垮信任链的缺陷资源分配、递归处理与内存读取触发的拒绝服务也在同一批修复中收口。受影响范围划得很清楚IBM Security Verify Access 及容器版 10.0 至 10.0.9.2IBM Verify Identity Access 及容器版 11.0 至 11.0.3。自 11.0.0 起IBM 把 Security Verify Access 更名为 Verify Identity Access别再把旧名修复包与新版本通道混为一谈。设备用户应通过 Fix Central 获取 Verify Identity Access 11.0.3.1 或 Security Verify Access 10.0.9.3容器用户则按 IBM 的容器下载指引核对产品镜像与注册表位置而不是随手拉一个“看起来像最新”的标签。公告没有给出可依赖的变通方案或缓解措施这句话的潜台词很硬别用 WAF 规则、临时关停某个端口或祈祷网络隔离来顶替补丁。正确动作只有一个字快。先在资产台账里点名产品、版本、部署形态与对外暴露面再为设备与容器分别排期升级升级前备份配置与快照升级后复测登录、授权、会话保持、审计落盘与关键应用接入确认反序列化入口、管理面与快照管理器不再落在旧版本区间。如果把这次更新放在更长的时间线上看它延续了 IBM Identity 与 Verify Access 近期修补的节奏请求走私、权限提升、系列安全缺陷接连被处理十月的这批补丁则是又一次集中清账。老旧版本不会自己变安全暴露面也不会因为没人谈论而消失。对负责企业身份入口的团队来说最危险的时刻不是漏洞公布当天而是所有人都知道 9.8 分值却依然让 10.0.9.2 或 11.0.3 安静地跑在下一批扫描报告里。