Kurzfassung
IBM meldet zwei kritische Schwachstellen, die in vielen Umgebungen unangenehm werden können. CVE-2026-14525 betrifft WebSphere Application Server Liberty zwischen 17.0.0.3 und 26.0.0.8, wenn die Funktion rtcomm-1.0 oder rtcommGateway-1.0 aktiv ist. CVE-2026-17181 trifft Db2 Mirror for i in den Versionen 7.4, 7.5 und 7.6 und erlaubt laut Beschreibung das Schreiben von Dateien an beliebige Pfade.
Für Unternehmen im DACH-Raum heißt das vor allem: Inventar prüfen, betroffene Installationen finden, Versionen abgleichen und Patches zügig einplanen. Wer die genannten Funktionen gar nicht nutzt, hat bei CVE-2026-14525 etwas Luft. Bei CVE-2026-17181 klingt die Lage ernster, weil ein entfernter Angreifer ohne lokalen Zugriff ansetzen können soll.
Was ist passiert?
Die NVD führt zwei IBM-Probleme mit hohem Risiko. In WebSphere Application Server Liberty kann eine Authentifizierung umgangen werden, sobald die rtcomm-Komponenten geladen sind. Das ist kein theoretischer Makel. Wenn ein Angreifer an dieser Stelle vorbeikommt, fällt eine zentrale Schutzschicht weg.
Beim zweiten Fall geht es um Db2 Mirror for i. Dort beschreibt IBM ein Path-Traversal-Problem, das einem entfernten Angreifer das Schreiben von Dateien an frei wählbare Orte ermöglichen könnte. Solche Fehler enden oft in Konfigurationsmanipulation, Dateiersetzung oder im schlimmsten Fall in der Vorbereitung weiterer Angriffe.
Technische Details
CVE-2026-14525 ist laut NVD als kritisch eingestuft. Betroffen ist IBM WebSphere Application Server Liberty in den Releases 17.0.0.3 bis 26.0.0.8, allerdings nur dann, wenn rtcomm-1.0 oder rtcommGateway-1.0 aktiviert sind. Die Schwachstelle ermöglicht eine Authentifizierungsumgehung. Ob auch weitere Liberty-Funktionen indirekt betroffen sind, bleibt in der Quelle offen.
CVE-2026-17181 wird ebenfalls als kritisch bewertet. IBM Db2 Mirror for i in den Versionen 7.4, 7.5 und 7.6 kann demnach von einem entfernten Angreifer zum Schreiben von Dateien an beliebige Speicherorte missbraucht werden. Die Beschreibung nennt Path Traversal als Ursache. Welche Angriffswege IBM intern genau geschlossen hat, geht aus dem NVD-Auszug nicht hervor.
Für Admins ist der Unterschied wichtig: Bei CVE-2026-14525 hängt die Ausnutzbarkeit an einer aktivierten Funktion. Bei CVE-2026-17181 reicht nach der vorliegenden Beschreibung ein Remote-Zugriff auf die verwundbare Komponente. Das macht den zweiten Fall potenziell breiter relevant.
Wer ist betroffen?
Von CVE-2026-14525 sind nur Systeme mit IBM WebSphere Application Server Liberty betroffen, die in den genannten Versionsbereichen laufen und rtcomm-1.0 oder rtcommGateway-1.0 eingeschaltet haben. In vielen Unternehmen dürfte das eine Teilmenge der Installationen sein. Wer Liberty zwar betreibt, aber diese Features nie aktiviert hat, sollte trotzdem nachsehen und nicht raten.
CVE-2026-17181 betrifft IBM Db2 Mirror for i in 7.4, 7.5 und 7.6. Das ist für klassische Windows- oder Linux-Umgebungen meist irrelevant, für IBM-i-Betriebe aber ein echtes Thema. Privatnutzer spielen hier keine Rolle.
Empfohlene Maßnahmen
Erster Schritt: betroffene Systeme identifizieren. Prüfen Sie bei WebSphere Liberty, ob eine Version zwischen 17.0.0.3 und 26.0.0.8 im Einsatz ist und ob rtcomm-1.0 oder rtcommGateway-1.0 aktiv sind. Dann die vom Hersteller bereitgestellten Updates einspielen. Wenn ein sofortiger Patch nicht geht, die Features deaktivieren oder den Zugriff auf die Instanz eng begrenzen.
Bei Db2 Mirror for i sollten Admins die installierte Version gegen 7.4, 7.5 und 7.6 abgleichen und den Patchstatus sofort prüfen. Bis zum Update gilt: exponierte Zugänge minimieren, Berechtigungen sauber ziehen, Monitoring auf verdächtige Dateizugriffe schärfen. Wer File-Integrity-Überwachung oder zentrale Protokollauswertung hat, sollte sie jetzt auf diese Systeme fokussieren.
Wichtig ist auch die Kommunikation intern. Wenn WebSphere Liberty nur in einer Fachanwendung steckt, wissen Betriebsteams oft nicht sofort, dass die Funktion rtcomm aktiv ist. Genau dort gehen solche Themen in der Praxis unter.
Einschätzung von CyberSecurity-News.de
Beide Meldungen sind ernst zu nehmen, aber unterschiedlich zu gewichten. CVE-2026-14525 wirkt vor allem dort gefährlich, wo die betroffene Funktion wirklich genutzt wird. Ohne rtcomm sinkt das Risiko deutlich. CVE-2026-17181 ist aus unserer Sicht heikler, weil ein entfernter Angreifer laut Beschreibung Dateien an beliebige Orte schreiben kann. Das ist der Stoff, aus dem spätere Kompromittierungen entstehen.
Die Informationslage ist noch dünn. Aus dem NVD-Eintrag gehen keine Exploit-Details, keine Hinweise auf aktive Angriffe und keine Workarounds hervor. Wer jetzt betreibt, braucht keine Panik, sondern saubere Priorisierung. Erst Betroffenheit klären, dann patchen, dann nachziehen. Alles andere ist Theater.
Fazit
Für IBM-Umgebungen mit WebSphere Liberty oder Db2 Mirror for i gehört das Thema sofort auf die Arbeitsliste. CVE-2026-14525 betrifft eine klar umrissene Konstellation mit aktivierten rtcomm-Funktionen. CVE-2026-17181 ist breiter relevant und sollte höher priorisiert werden, wenn Db2 Mirror for i in 7.4 bis 7.6 läuft.
Wer die Produkte nicht einsetzt, kann die Lage abhaken. Wer sie einsetzt, sollte heute noch Version und Patchstand prüfen. Kritische IBM-Lücken erledigen sich selten von selbst.
Quellenangabe
Weiterführende Quelle: NVD-Eintrag zu CVE-2026-14525. Die zweite Schwachstelle ist im bereitgestellten Quellenauszug ebenfalls genannt; ein separater NVD-Link wurde nicht übermittelt.
