IBM ha pubblicato aggiornamenti di sicurezza per risolvere 22 vulnerabilità nei prodotti Security Verify Access e Verify Identity Access. Secondo l’alert AL07/261009/CSIRT-ITA del CSIRT Italia, diffuso il 9 ottobre 2026, 5 di queste falle hanno gravità critica e 5 hanno gravità alta. L’impatto sistemico stimato è alto (66.41).
Chi è coinvolto
Sono interessati i seguenti prodotti e versioni:
- IBM Security Verify Access e Verify Identity Access: versioni 10.0.x.x, fino alla 10.0.9.2 compresa, e versioni 11.0.x, fino alla 11.0.3 compresa.
- IBM Security Verify Access Container e Verify Identity Access Container: versioni 10.0.x.x, fino alla 10.0.9.2 compresa, e versioni 11.0.x, fino alla 11.0.3 compresa.
Chi usa versioni successive a quelle indicate non rientra nell’elenco delle versioni affette.
Che rischio c’è
Questi prodotti gestiscono l’accesso e le identità: servono a stabilire chi può entrare in un sistema e con quali permessi. Per questo le falle sono delicate. L’alert le classifica in quattro tipologie:
- Remote Code Execution: un attaccante può eseguire comandi su un sistema da remoto, senza essere fisicamente presente.
- Authentication Bypass: si può aggirare il controllo di accesso, cioè entrare senza superare la verifica prevista.
- Arbitrary File Write: è possibile scrivere file in punti del sistema dove non dovrebbe essere consentito.
- Security Restrictions Bypass: si possono superare alcune restrizioni di sicurezza impostate.
L’alert elenca 10 CVE, cioè i codici che identificano le singole vulnerabilità, relative ai livelli critico e alto: CVE-2026-78406, CVE-2026-78401, CVE-2026-19494, CVE-2026-19493, CVE-2026-19491, CVE-2026-19482, CVE-2026-18740, CVE-2026-17189, CVE-2026-16916 e CVE-2026-16823. Per nessuna di esse l’alert riporta, al momento, una dimostrazione pubblica di attacco o uno sfruttamento in corso.
Cosa fare
In linea con le indicazioni del produttore, il CSIRT Italia raccomanda di aggiornare i prodotti vulnerabili seguendo le istruzioni del bollettino di sicurezza pubblicato da IBM, indicato nella sezione Riferimenti dell’alert.
- Controllare quale versione di Verify Access o Verify Identity Access è in uso, anche nelle installazioni in container.
- Applicare gli aggiornamenti secondo il bollettino IBM.
- Avvisare il fornitore o il reparto IT che gestisce questi sistemi, se l’installazione non è curata direttamente, così da pianificare l’intervento.
Verificare con regolarità la disponibilità di nuovi aggiornamenti aiuta a ridurre il tempo in cui un sistema resta esposto.
Fonte: alert AL07/261009/CSIRT-ITA del CSIRT Italia, Agenzia per la cybersicurezza nazionale, pubblicato il 9 ottobre 2026 (impatto sistemico alto). Leggi l’alert originale.
