[Fonte única] CISA confirma exploração ativa de falha de autorização no IBM Aspera Faspex

Uma vulnerabilidade de autorização incorreta no IBM Aspera Faspex, identificada como CVE-2026-123218, foi listada com ação exigida e prazo federal: um usuário autenticado pode enviar uma mensagem especialmente elaborada para contornar checagens de autorização e obter escalada de privilégios. A orientação é aplicar mitigações conforme as instruções do fabricante, em conformidade com o BOD 26-04, até 12 de novembro de 2026. Uso em ransomware: desconhecido.[1]CVE-2026-123218: IBM Aspera Faspex (IBM Aspera Faspex Incorrect Authorization Vulnerability)nvd.nist.gov · kevAbrir fonte originalVer na lista de fontes

A presença do registro no catálogo KEV (Known Exploited Vulnerabilities) da CISA: que lista somente falhas com exploração confirmada: indica que a agência norte-americana confirma exploração ativa dessa vulnerabilidade no IBM Aspera Faspex.[1]CVE-2026-123218: IBM Aspera Faspex (IBM Aspera Faspex Incorrect Authorization Vulnerability)nvd.nist.gov · kevAbrir fonte originalVer na lista de fontes

O registro CVE-2026-123218, publicado em 9 de novembro de 2026 e vinculado à página do NVD (https://nvd.nist.gov/vuln/detail/CVE-2026-123218), descreve que o IBM Aspera Faspex contém uma vulnerabilidade de autorização incorreta que pode permitir a um usuário autenticado elaborar uma mensagem específica para burlar a autorização, causando escaladas de privilégio.[1]CVE-2026-123218: IBM Aspera Faspex (IBM Aspera Faspex Incorrect Authorization Vulnerability)nvd.nist.gov · kevAbrir fonte originalVer na lista de fontes

A inclusão do item no KEV, com prazo federal definido e referências ao BOD 26-04 e aos requisitos de triagem forense da CISA, representa a confirmação formal pela agência de que a falha está sendo explorada na prática.[1]CVE-2026-123218: IBM Aspera Faspex (IBM Aspera Faspex Incorrect Authorization Vulnerability)nvd.nist.gov · kevAbrir fonte originalVer na lista de fontes

Escalada de privilégio obtida por um usuário autenticado pode transformar contas de baixo privilégio: inclusive contas já comprometidas: em acesso privilegiado ao produto, ampliando o risco de comprometimento dos arquivos e fluxos que o Aspera Faspex gerencia.[1]CVE-2026-123218: IBM Aspera Faspex (IBM Aspera Faspex Incorrect Authorization Vulnerability)nvd.nist.gov · kevAbrir fonte originalVer na lista de fontes

A ação exigida determina aplicar mitigações de acordo com as instruções do fabricante, assegurando conformidade com o BOD 26-04 ('Prioritizing Security Updates Based on Risk') e com os 'Forensics Triage Requirements' da CISA, além de seguir a orientação aplicável do BOD 26-04 para serviços em nuvem: ou descontinuar o uso do produto caso mitigações não estejam disponíveis. O prazo federal vence em 12 de novembro de 2026.[1]CVE-2026-123218: IBM Aspera Faspex (IBM Aspera Faspex Incorrect Authorization Vulnerability)nvd.nist.gov · kevAbrir fonte originalVer na lista de fontes

Aplique mitigações conforme as instruções do fornecedor, garantindo aderência às diretrizes do BOD 26-04 e aos requisitos de triagem forense da CISA; se mitigações não estiverem disponíveis, siga a orientação do BOD 26-04 para serviços em nuvem ou descontinue o uso do produto.[1]CVE-2026-123218: IBM Aspera Faspex (IBM Aspera Faspex Incorrect Authorization Vulnerability)nvd.nist.gov · kevAbrir fonte originalVer na lista de fontes

Cada organização é responsável por avaliar a exposição à internet de cada ativo com Aspera Faspex e garantir aderência às diretrizes de correção do BOD 26-04; os órgãos sujeitos ao prazo federal devem concluir as ações até 12 de novembro de 2026.[1]CVE-2026-123218: IBM Aspera Faspex (IBM Aspera Faspex Incorrect Authorization Vulnerability)nvd.nist.gov · kevAbrir fonte originalVer na lista de fontes

Conhecido: a falha é de autorização incorreta (não de ausência de autenticação); exige um atacante já autenticado; o vetor é uma mensagem especialmente elaborada que contorna a checagem de autorização; o efeito é escalada de privilégios; há prazo federal em 12/11/2026 e ação exigida formalizada.[1]CVE-2026-123218: IBM Aspera Faspex (IBM Aspera Faspex Incorrect Authorization Vulnerability)nvd.nist.gov · kevAbrir fonte originalVer na lista de fontes

Desconhecido ou não informado: o uso em ransomware está marcado como 'Unknown' no registro; o item não informa versões afetadas do Faspex, pontuação de severidade, CWE, nem detalhes sobre atores ou campanhas de exploração observados.[1]CVE-2026-123218: IBM Aspera Faspex (IBM Aspera Faspex Incorrect Authorization Vulnerability)nvd.nist.gov · kevAbrir fonte originalVer na lista de fontes

Nenhuma reação de analistas, do fornecedor ou da comunidade foi capturada neste lote de evidências; a única orientação registrada é a mensagem oficial da ação exigida do KEV, que manda aplicar mitigações conforme instruções do fabricante, cumprir o BOD 26-04 e os requisitos de triagem forense da CISA, ou descontinuar o produto se mitigações não existirem.[1]CVE-2026-123218: IBM Aspera Faspex (IBM Aspera Faspex Incorrect Authorization Vulnerability)nvd.nist.gov · kevAbrir fonte originalVer na lista de fontes

Linha do tempo registrada: o registro KEV/NVD foi publicado em 9 de novembro de 2026 e o prazo federal para aplicação das mitigações é 12 de novembro de 2026: uma janela de apenas três dias entre a listagem e o vencimento.[1]CVE-2026-123218: IBM Aspera Faspex (IBM Aspera Faspex Incorrect Authorization Vulnerability)nvd.nist.gov · kevAbrir fonte originalVer na lista de fontes

O lote não registra eventos anteriores: divulgação original do CVE, emissão de correção pelo fabricante ou primeiros relatos de exploração: ; o único marco futuro documentado é o vencimento do prazo federal em 12/11/2026.[1]CVE-2026-123218: IBM Aspera Faspex (IBM Aspera Faspex Incorrect Authorization Vulnerability)nvd.nist.gov · kevAbrir fonte originalVer na lista de fontes

1 grupos independentes, 1 atualizações e 0 interações.[1]CVE-2026-123218: IBM Aspera Faspex (IBM Aspera Faspex Incorrect Authorization Vulnerability)nvd.nist.gov · kevAbrir fonte originalVer na lista de fontes

Classificação da falha: 'incorrect authorization' (autorização incorreta). Pré-requisito: atacante autenticado. Mecanismo: envio de uma 'mensagem específica' especialmente elaborada para contornar a checagem de autorização. Efeito: escaladas de privilégio. Identificador: CVE-2026-123218, com registro canônico no NVD.[1]CVE-2026-123218: IBM Aspera Faspex (IBM Aspera Faspex Incorrect Authorization Vulnerability)nvd.nist.gov · kevAbrir fonte originalVer na lista de fontes

O registro não informa pontuação CVSS, CWE, versões afetadas do IBM Aspera Faspex nem distinções entre implantações locais e em nuvem; a orientação para serviços em nuvem é tratada de forma genérica ('siga a orientação aplicável do BOD 26-04').[1]CVE-2026-123218: IBM Aspera Faspex (IBM Aspera Faspex Incorrect Authorization Vulnerability)nvd.nist.gov · kevAbrir fonte originalVer na lista de fontes

Este relato baseia-se em uma única evidência: o item 'kev:CVE-2026-123218' (papel: primário), registro do KEV/NVD intitulado 'CVE-2026-123218: IBM Aspera Faspex (IBM Aspera Faspex Incorrect Authorization Vulnerability)', publicado em 9 de novembro de 2026, com URL canônica https://nvd.nist.gov/vuln/detail/CVE-2026-123218.[1]CVE-2026-123218: IBM Aspera Faspex (IBM Aspera Faspex Incorrect Authorization Vulnerability)nvd.nist.gov · kevAbrir fonte originalVer na lista de fontes

Limitações: o lote não contém fontes independentes (nota do fabricante, imprensa especializada ou inteligência de ameaças de terceiros) para triangulação; detalhes técnicos adicionais: versões afetadas, severidade e orientações de patch: devem ser verificados na página do NVD e nas instruções do fabricante quando divulgadas.[1]CVE-2026-123218: IBM Aspera Faspex (IBM Aspera Faspex Incorrect Authorization Vulnerability)nvd.nist.gov · kevAbrir fonte originalVer na lista de fontes