Kurzfassung

IBM MQ enthält mit CVE-2026-12351 eine kritische Schwachstelle zur Remotecodeausführung. Der CVSS-Basiswert liegt bei 9.8 und damit im kritischen Bereich. Betroffen sind mehrere Ausgaben der Reihen 9.3, 9.4 und 10.0, wenn die IVT-Anwendung bereitgestellt wurde.

Was ist passiert?

Für IBM MQ wurde die Schwachstelle CVE-2026-12351 veröffentlicht. Nach den bekannten technischen Angaben kann ein entfernter Angreifer beliebigen Code ausführen, wenn in einer betroffenen Installation unsichere JNDI-Lookups verarbeitet werden und die IVT-Anwendung im Einsatz ist.

Für Unternehmen ist vor allem der zweite Teil entscheidend: Die Lücke betrifft nicht pauschal jede IBM-MQ-Installation in gleicher Weise, sondern hängt an einer konkreten Bereitstellungssituation. Wer IVT nicht deployed hat, dürfte deutlich geringer exponiert sein. Wer die Komponente jedoch produktiv oder testnah erreichbar betreibt, sollte den Fall sofort prüfen.

Technische Details

Die Schwachstelle steckt laut NVD in der Verarbeitung unsicherer JNDI-Lookups innerhalb der IVT-Anwendung von IBM MQ. Dadurch kann ein entfernter Angreifer unter den genannten Bedingungen beliebigen Code ausführen.

Der CVSS-Basiswert beträgt 9.8 (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H). Das bedeutet technisch: Ein Angriff ist über das Netzwerk möglich, erfordert keine Anmeldung, keine Mitwirkung eines Benutzers und nur geringe Angriffskomplexität; erfolgreiche Ausnutzung gefährdet Vertraulichkeit, Integrität und Verfügbarkeit jeweils schwer. Dieser Wert beschreibt die technische Schwere der Schwachstelle, nicht automatisch eine bereits beobachtete Ausnutzung in freier Wildbahn.

Öffentlich genannt wird als Auslöser die Bereitstellung der IVT-Anwendung. Weitere Details zu konkreten Angriffswegen, Beispiel-Exploits oder zu möglichen Umgehungsmaßnahmen hat NVD nicht veröffentlicht.

Wer ist betroffen?

Betroffen sind nach den veröffentlichten Angaben diese IBM-MQ-Versionen:

  • IBM MQ 9.3.0.0 bis 9.3.0.41 LTS
  • IBM MQ 9.3.0.0 bis 9.3.5.1 CD
  • IBM MQ 9.4.0.0 bis 9.4.0.25 LTS
  • IBM MQ 9.4.0.0 bis 9.4.5.1 LTS
  • IBM MQ 10.0.0.0

Entscheidend ist der Zusatz zur IVT-Anwendung. Admins sollten deshalb nicht nur die Produktversion prüfen, sondern auch feststellen, ob diese Anwendung überhaupt bereitgestellt wurde und ob sie aus internen Netzen, Partnernetzen oder sogar aus dem Internet erreichbar ist.

Im DACH-Raum ist IBM MQ vor allem in großen Unternehmensumgebungen, Rechenzentren, Banken, Industrie- und Integrationsszenarien relevant. Für klassische Endanwender spielt die Schwachstelle praktisch keine Rolle.

Empfohlene Maßnahmen

  1. Bestand aufnehmen: Ermitteln Sie sofort alle IBM-MQ-Instanzen in den genannten Versionsbereichen.
  2. IVT-Einsatz prüfen: Stellen Sie fest, ob die IVT-Anwendung deployed ist. Priorisieren Sie Systeme mit externer oder segmentübergreifender Erreichbarkeit.
  3. Angriffsfläche reduzieren: Beschränken Sie den Netzwerkzugriff auf betroffene Instanzen umgehend auf strikt notwendige Quellsysteme. Entfernen Sie unnötige Freigaben an Firewalls, Load-Balancern und Proxys.
  4. Nicht benötigte Komponenten deaktivieren: Falls IVT in der jeweiligen Umgebung nicht gebraucht wird, sollte die Bereitstellung entfernt oder deaktiviert werden.
  5. Patch-Stand beim Hersteller prüfen: NVD nennt betroffene Versionen, aber keine konkrete Korrekturversion in den vorliegenden Angaben. Prüfen Sie deshalb Ihre IBM-Supportkanäle und Wartungsinformationen zeitnah.
  6. Monitoring nachschärfen: Überwachen Sie IBM-MQ-Systeme und angrenzende Server auf ungewöhnliche JNDI-bezogene Aufrufe, neue Prozesse, verdächtige Netzwerkverbindungen und unerwartete Änderungen an Deployments.
  7. Notfallplan vorbereiten: Legen Sie für kritische MQ-Umgebungen fest, wie Sie betroffene Dienste kurzfristig isolieren, auf Ersatzwege umschalten oder kontrolliert außer Betrieb nehmen können.

Ob IBM bereits einen Patch bereitstellt, ist in den hier vorliegenden NVD-Informationen nicht mitgeteilt.

Einschätzung von CyberSecurity-News.de

Die technische Schwere ist hoch genug, um das Thema in betroffenen IBM-MQ-Umgebungen sofort auf die Prioritätenliste zu setzen. CVSS 9.8 ist kein Wert, den man bis zum nächsten regulären Wartungsfenster liegen lassen sollte.

Gleichzeitig ist die Lage nicht für jedes Unternehmen gleich kritisch. Der Hinweis auf die bereitgestellte IVT-Anwendung schränkt das Risiko offenbar auf bestimmte Deployments ein. Genau das muss IBM in der Kommunikation sauber und eindeutig auflösen: Welche Installationen sind real angreifbar, welche nicht, und welche festen Abhilfen gelten kurzfristig?

Die Informationslage bleibt damit unvollständig. NVD liefert die Einordnung und die betroffenen Versionsbereiche, aber keine belastbaren Angaben zu Patches, Workarounds oder beobachteter Ausnutzung. Für Sicherheitsverantwortliche heißt das: nicht spekulieren, sondern die betroffenen Installationen konkret inventarisieren und die Exponierung technisch verifizieren.

Fazit

Wenn Sie IBM MQ in den genannten Versionsreihen betreiben, sollten Sie sofort prüfen, ob die IVT-Anwendung deployed ist und wer darauf zugreifen kann. Wo das zutrifft, sind Zugriffe einzuschränken und Herstellerinformationen zum Fix ohne Aufschub nachzuziehen.

Quellenangabe

Weiterführende Informationen: NVD-Eintrag zu CVE-2026-12351