Veille menaces / Faille
IBM Aspera Faspex : un contournement d'autorisation qui donne tous les droits d'admin, classé comme exploité par la CISA
IBM a corrigé un contournement d'autorisation dans Aspera Faspex, son serveur d'échange de fichiers, avec la version 5.0.19 PL1. La faille (CVE-2026-123218, CVSS 9,8) permet à un utilisateur de forger un message qui lui donne tous les droits d'administration, selon SecurityWeek. La CISA l'a ajoutée à son catalogue des vulnérabilités exploitées le 9 novembre 2026. Le bulletin d'IBM ne parle pas d'exploitation, et aucun détail sur les attaques n'est public.
- Secteur
- Tous secteurs
- Point d'entrée
- Faille logicielle
- Produit ou fournisseur
- IBM Aspera Faspex
- Comment c'est arrivé
- Un contournement d'autorisation (CVE-2026-123218, CWE-863, CVSS 9,8) dans IBM Aspera Faspex, versions 5.0.0 à 5.0.19. Le bulletin d'IBM le décrit comme permettant à un utilisateur authentifié de contourner les contrôles d'autorisation ; selon SecurityWeek, un message forgé donne « tous les droits d'administration ». Le vecteur CVSS d'IBM indique qu'aucun privilège n'est nécessaire, ce qui ne correspond pas à cette description. La manière dont les attaquants l'utilisent n'est pas publique.[1][2] Vérifié le 11 nov. 2026
- Ce qui a été volé
- Pas encore public Vérifié le 11 nov. 2026
- Qui est touché
- Pas encore public Vérifié le 11 nov. 2026
- Acteur
- Non attribué
- CVE
- CVE-2026-123218
Chronologie
- IBM publie un bulletin de sécurité sur la CVE-2026-123218 dans Aspera Faspex 5.0.0 à 5.0.19, corrigée dans la 5.0.19 PL1. Il n'indique aucune mesure de contournement et ne parle pas d'exploitation. [1]
- La CISA ajoute la CVE-2026-123218 à son catalogue des vulnérabilités exploitées, avec un délai de trois jours pour les agences fédérales, selon SecurityWeek ; Security Affairs donne une échéance au 12 novembre. Ni la CISA ni IBM n'ont donné de détails sur les attaques, et aucun attaquant n'est nommé. [2][3]