Kurzfassung

IBM meldet zwei kritische Schwachstellen, die in Unternehmen schnell relevant werden können. CVE-2026-11707 betrifft die Admin-Konsole von Tivoli System Automation Application Manager 4.1 und WebSphere Application Server. CVE-2026-15435 trifft IBM App Connect Enterprise und erlaubt unter bestimmten Bedingungen einen Directory-Traversal-Angriff, bei dem ein Angreifer sogar Dateien auf dem System schreiben kann.

Für den DACH-Raum ist das vor allem dort heikel, wo IBM-Produkte zentrale Integrations- oder Verwaltungsaufgaben übernehmen. Wer solche Systeme nach außen erreichbar betreibt oder sie mit hohen Rechten laufen lässt, sollte die Lücke nicht liegen lassen.

Was ist passiert?

Die erste Lücke, CVE-2026-11707, sitzt in der administrativen Anmeldeseite. Ein Angreifer kann hier über eine Cross-Site-Scripting-Schwachstelle Schadcode im Browser eines Administrators ausführen. Das ist besonders unangenehm, weil der Angriff nicht auf das Zielsystem selbst zielen muss, sondern auf den Bediener.

Die zweite Schwachstelle, CVE-2026-15435, steckt in IBM App Connect Enterprise. Dort kann ein entfernter Angreifer mit speziell aufgebauten URL-Anfragen Verzeichnisse verlassen und auf dem System Dateien schreiben. Das ist deutlich mehr als ein harmloser Bug. Wer so etwas in einer Integrationsplattform ausnutzen kann, bekommt unter Umständen einen Einstieg in Prozessketten, Konfigurationen oder Folgekomponenten.

Technische Details

CVE-2026-11707 ist eine klassische XSS-Lücke im Login-Bereich der Administrationsoberfläche. Die Auswirkung hängt davon ab, ob ein Administrator präparierte Inhalte öffnet oder wie die Weboberfläche Eingaben verarbeitet. Für Angreifer ist das ein guter Hebel, um Sitzungen abzugreifen, Aktionen im Kontext eines angemeldeten Admins auszulösen oder weitere interne Ziele anzustoßen.

CVE-2026-15435 ist anders gelagert. Hier geht es um Directory Traversal über /../-Sequenzen in einer URL. Die Schwäche betrifft laut Quelle die Versionen 13.0.1.0 bis 13.0.7.2 sowie 12.0.1.0 bis 12.0.12.27. Ob darüber hinaus weitere Unterversionen oder Sonderbuilds betroffen sind, lässt IBM in der Quelle offen.

Besonders kritisch ist der Hinweis, dass sich damit arbitrary files auf dem System schreiben lassen könnten. Das ist in der Praxis oft der Punkt, an dem aus einer Schwachstelle ein vollständiger Systemkompromiss wird, wenn der Angreifer einen geeigneten Schreibpfad findet und der Dienst mit zu vielen Rechten läuft.

Wer ist betroffen?

Betroffen sind Unternehmen, die IBM Tivoli System Automation Application Manager 4.1 oder IBM WebSphere Application Server mit der verwundbaren Admin-Konsole einsetzen. Dazu kommen Umgebungen mit IBM App Connect Enterprise in den genannten Versionen. Privatnutzer spielen hier keine Rolle; das ist klar ein Unternehmensproblem.

Für Organisationen im DACH-Raum gilt: Prüfen Sie nicht nur, ob die Software installiert ist. Entscheidend ist, ob die betroffenen Komponenten aktiv erreichbar sind, ob die Admin-Konsole aus internen Netzen offen steht und ob App Connect Enterprise mit weitreichenden Dateisystemrechten arbeitet. Genau solche Konstellationen sieht man in gewachsenen IT-Landschaften häufig.

Empfohlene Maßnahmen

Patchen hat Priorität eins. Wer die betroffenen IBM-Versionen betreibt, sollte die vom Hersteller bereitgestellten Updates einspielen und die Systeme danach gezielt nach Konfigurations- oder Laufzeitfehlern prüfen. Gerade Integrationsserver werden gern aufgeschoben, weil sie „nur“ im Backend laufen. Das ist in diesem Fall die falsche Sparmaßnahme.

Bis zum Patch gilt: Admin-Konsolen nur aus eng begrenzten Netzen erreichbar machen, MFA dort erzwingen, wo es möglich ist, und privilegierte Konten separat absichern. Für App Connect Enterprise sollten Admins außerdem die Dateisystemrechte des Dienstes prüfen. Läuft der Prozess zu breit, wird aus einem Traversal-Fehler schneller ein echter Einbruch.

Wer WebSphere oder Tivoli in produktiven Segmenten betreibt, sollte außerdem Logs auf verdächtige URL-Muster und unerwartete Schreibvorgänge prüfen. Das ist kein Ersatz für das Update, aber oft der einzige Hinweis, wenn Angreifer die Schwäche bereits getestet haben.

Einschätzung von CyberSecurity-News.de

Die Lage ist ernst, aber nicht spektakulär im reißerischen Sinn. XSS in einer Admin-Oberfläche und Directory Traversal mit möglichem Dateischreiben sind altbekannte Klassen von Schwachstellen, doch in Enterprise-Umgebungen bleiben sie gefährlich, weil dort oft hohe Rechte, gewachsene Vertrauenszonen und zu offene Verwaltungszugänge zusammenkommen.

Unschön ist die Informationslage zur Reichweite der betroffenen Versionen bei CVE-2026-15435. IBM nennt klare Versionen, lässt aber offen, wie sich Sonderstände oder abgeleitete Pakete verhalten. Wer so etwas produktiv betreibt, sollte sich nicht auf Annahmen verlassen, sondern die eigene Installationsbasis sauber gegen die Herstellerangaben prüfen.

Für die meisten Leser ist das kein Massenproblem. Für Admins mit IBM-Stacks kann es aber schnell ein Pflichttermin werden, weil eine kompromittierte Admin-Konsole oder ein schreibbarer Integrationsserver in der Praxis sehr viel Schaden anrichten kann.

Fazit

CVE-2026-11707 und CVE-2026-15435 gehören auf die Liste der Schwachstellen, die man in Enterprise-Umgebungen zügig abarbeiten sollte. Die eine trifft den Verwaltungszugang, die andere den Datenpfad. Beides ist unschön, beides ist kritisch, und beides verlangt ein sauberes Patch- und Härtungsprogramm.

Wer IBM Tivoli, WebSphere oder App Connect Enterprise betreibt, sollte heute noch prüfen, ob die betroffenen Versionen im Einsatz sind. Danach folgen Update, Eingrenzung der Exponierung und ein Blick in die Logs. Mehr braucht es nicht für den Anfang. Weniger sollte es aber auch nicht sein.

Quellenangabe

Weiterführende Quelle: NVD zu CVE-2026-11707. Die Angaben zu CVE-2026-15435 stammen ebenfalls aus der NVD-Quelle im bereitgestellten Material.