Auf einen Blick:

Produkt / Komponente	Betroffene Versionen	Gepatcht in
IBM DataPower Gateway 10.5.0	10.5.0.0, 10.5.0.1, 10.5.0.2, 10.5.0.3, 10.5.0.4, 10.5.0.5, 10.5.0.6, 10.5.0.7, 10.5.0.8, 10.5.0.9, 10.5.0.10, 10.5.0.11, 10.5.0.12, 10.5.0.13, 10.5.0.14, 10.5.0.15, 10.5.0.16, 10.5.0.17, 10.5.0.18, 10.5.0.19, 10.5.0.20, 10.5.0.21, 10.5.0.22	10.5.0.23, 10.6.0.11, 11.0.0.3
IBM DataPower Gateway 10.6.0	10.6.0.0, 10.6.0.1, 10.6.0.2, 10.6.0.3, 10.6.0.4, 10.6.0.5, 10.6.0.6, 10.6.0.7, 10.6.0.8, 10.6.0.9, 10.6.0.10	siehe Advisory
IBM DataPower Gateway 10.6 CD	10.6.1–10.6.6	11.0.0.3 (kein 10.6-CD-Fix)
IBM DataPower Gateway 11.0.0	11.0.0.0, 11.0.0.1, 11.0.0.2	siehe Advisory

• Schwachstellen: CVE-2026-16340 (CVSS 9.8, kritisch), CVE-2026-14990 (CVSS 9.3, kritisch), CVE-2026-15762 (CVSS 9.8, kritisch), CVE-2026-14991 (CVSS 9.8, kritisch), CVE-2026-14992 (CVSS 9.8, kritisch), CVE-2026-14502 (CVSS 9.8, kritisch), CVE-2026-14269 (CVSS 9.8, kritisch)
• Status: kein aktiver Missbrauch belegt
• Patch verfügbar seit: 28.09.2026 (IBM-Bulletins 7289775 und 7289790)

Betroffene Release-Streams

Betroffen sind die folgenden IBM-DataPower-Gateway-Releases:

CVE-2026-16340, CVE-2026-15762, CVE-2026-14991, CVE-2026-14992, CVE-2026-14502, CVE-2026-14269:

• 10.5.0.0 bis 10.5.0.22
• 10.6.0.0 bis 10.6.0.10
• 10.6.1 bis 10.6.6 im Release-Stream 10.6 CD
• 11.0.0.0 bis 11.0.0.2

CVE-2026-14990:

• 10.6.0.0 bis 10.6.0.10

Der CVSS-Vektor für CVE-2026-16340 ordnet den Fehler als über das Netzwerk ausnutzbar ein. Er weist eine geringe Angriffskomplexität, keine erforderlichen Berechtigungen und keine Nutzerinteraktion aus. Vertraulichkeit, Integrität und Verfügbarkeit sind jeweils mit hohen Auswirkungen bewertet.

Korrigierte Versionen und zeitlicher Ablauf

Für die betroffenen Release-Streams stehen korrigierte Versionen bereit:

Betroffener Release-Stream	Korrigierte Version
IBM DataPower Gateway 10.5.0	10.5.0.23
IBM DataPower Gateway 10.6.0	10.6.0.11
IBM DataPower Gateway 10.6 CD	11.0.0.3 (kein 10.6-CD-Fix)
IBM DataPower Gateway 11.0.0	11.0.0.3

IBM hat die Fixes für CVE-2026-16340 und die fünf zusätzlichen kritischen Schwachstellen mit CVSS 9.8 am 28. September 2026 im Security-Bulletin 7289775 veröffentlicht. Die CVE-Veröffentlichung erfolgte am 8. Oktober 2026. Für keine der Schwachstellen ist eine aktive Ausnutzung dokumentiert.

Für den Release-Stream 10.6 CD nennt IBM im Bulletin 7289775 keine korrigierte 10.6-CD-Version; stattdessen wird 11.0.0.3 als Fix-Release angegeben. Organisationen, die 10.6 CD einsetzen, sollten prüfen, ob ein Upgrade auf 11.0.0.3 möglich ist oder ob temporäre Maßnahmen erforderlich sind.

CVE-2026-14990: Cross-Site Scripting im Release-Stream 10.6.0

IBM DataPower Gateway 10.6.0.0 bis 10.6.0.10 ist zusätzlich von CVE-2026-14990 betroffen, einer Cross-Site-Scripting-Schwachstelle mit einem CVSS-Score von 9.3. Der CVSS-Vektor lautet CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:N. Die Schwachstelle erfordert Nutzerinteraktion, ermöglicht jedoch einem entfernten, nicht authentifizierten Angreifer die Kompromittierung von Vertraulichkeit und Integrität mit hoher Auswirkung. Der Scope ist als „Changed“ bewertet.

Laut IBM-Bulletin 7289790 (veröffentlicht am 28. September 2026) ist CVE-2026-14990 in Version 10.6.0.11 behoben.

CVE-2026-15762, CVE-2026-14991, CVE-2026-14992, CVE-2026-14502, CVE-2026-14269: fünf weitere kritische Schwachstellen

IBM hat im selben Security Bulletin 7289775 fünf weitere kritische Schwachstellen mit jeweils CVSS 9.8 veröffentlicht. Alle fünf betreffen dieselben Release-Streams wie CVE-2026-16340 und sind in denselben korrigierten Versionen behoben (10.5.0.23, 10.6.0.11, 11.0.0.3). Der CVSS-Vektor ist für alle fünf identisch: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H — Netzwerk-basiert, geringe Komplexität, keine Authentifizierung, keine Nutzerinteraktion, hohe Auswirkung auf Vertraulichkeit, Integrität und Verfügbarkeit.

CVE-2026-15762: Out-of-Bounds Write

CVE-2026-15762 (CWE-787) ist ein Out-of-Bounds Write. Ein entfernter Angreifer kann beliebigen Code auf dem betroffenen System ausführen. IBM nennt keine weiteren Details zur Ursache.

CVE-2026-14991: Buffer Overflow mit Widerspruch in der Beschreibung

CVE-2026-14991 (CWE-787) ist ein Buffer Overflow durch fehlerhafte Grenzprüfung. IBM beschreibt den Angreifer in der Bulletin-Zusammenfassung als lokalen Benutzer, bewertet die Schwachstelle jedoch mit dem Netzwerk-Vektor AV:N und CVSS 9.8. Diese Abweichung zwischen Beschreibung und CVSS-Vektor ist in den IBM-Angaben enthalten und wird hier unverändert wiedergegeben. Organisationen sollten das IBM-Bulletin konsultieren, um die tatsächliche Ausnutzbarkeit zu klären.

CVE-2026-14992: Buffer Overflow

CVE-2026-14992 (CWE-787) ist ein Buffer Overflow. IBM nennt keine weiteren Details zur Ursache oder zum Angriffsweg.

CVE-2026-14502: leere Passwörter bei LDAP-Authentifizierung

CVE-2026-14502 (CWE-287) betrifft die LDAP-Authentifizierung. Leere Passwörter werden nicht abgewiesen. Ein entfernter Angreifer kann dadurch administrativen Zugriff auf das System erlangen.

CVE-2026-14269: Heap-basierter Buffer Overflow

CVE-2026-14269 (CWE-122 laut NVD) ist ein Heap-basierter Buffer Overflow. Ein nicht authentifizierter entfernter Angreifer kann beliebigen Code ausführen.

Für keine der fünf Schwachstellen ist eine aktive Ausnutzung dokumentiert. IBM nennt keine Workarounds.

Priorisierung der Abhilfe

Organisationen sollten zunächst feststellen, ob einer der betroffenen Release-Stände eingesetzt wird. Anschließend ist die für den jeweiligen Release-Stream vorgesehene korrigierte Version einzuplanen und der erreichte Update-Stand zu prüfen.

Für die Release-Streams 10.5.0, 10.6.0 und 11.0.0 stehen korrigierte Versionen bereit (10.5.0.23, 10.6.0.11, 11.0.0.3). Für den Release-Stream 10.6 CD nennt IBM im Bulletin 7289775 keine korrigierte 10.6-CD-Version; stattdessen wird 11.0.0.3 als Fix-Release angegeben. Organisationen, die 10.6 CD einsetzen, sollten prüfen, ob ein Upgrade auf 11.0.0.3 möglich ist oder ob temporäre Maßnahmen erforderlich sind.

Falls ein Update nicht unmittelbar möglich ist, kann als temporäre Maßnahme die Einschränkung des Netzwerkzugangs zum Gateway erwogen werden. Zusätzlich kann geprüft werden, ob RFC2047-basierte Eingaben aus externen Quellen gefiltert oder validiert werden können. Für CVE-2026-14990 sollten Eingaben, die zu Cross-Site-Scripting führen können, validiert und gefiltert werden. Für CVE-2026-14502 sollte die LDAP-Authentifizierung geprüft und sichergestellt werden, dass leere Passwörter abgewiesen werden, solange ein Update aussteht.

Für die weitere Steuerung gehören IBM DataPower Gateway und zugehörige Sicherheitsmeldungen in ein fortlaufendes Schwachstellen- und Vendor-Risk-Monitoring.

IBM DataPower Gateway wird in vielen Branchen als zentrales API- und Integrations-Gateway eingesetzt — darunter Finanzdienstleister, die unter die DORA-Verordnung der EU fallen, sowie Betreiber kritischer Infrastrukturen in Deutschland und Österreich, für die NIS-2-Umsetzungspflichten gelten (in Österreich über das NISG). Unternehmen in der Schweiz unterliegen dem revidierten Informationssicherheitsgesetz (ISG) mit Meldepflicht ans BACS. Sollte eine erfolgreiche Ausnutzung zur Verarbeitung oder zum Abfluss personenbezogener Daten führen, greift zudem die DSGVO-Meldepflicht nach Art. 33 mit einer 72-Stunden-Frist gegenüber der zuständigen Aufsichtsbehörde.

Extern erreichbare DataPower-Gateways einordnen

IBM DataPower Gateway kann als extern erreichbarer Dienst unter einer eigenen Domain betrieben werden. Bei den vorliegenden Schwachstellen ist daher zunächst relevant, welche Gateways öffentlich sichtbar sind und welche eingesetzte Software dort erkennbar ist.

LocateRisk unterstützt im External Attack Surface Management dabei, extern erreichbare Systeme und eingesetzte Software sichtbar zu machen. Diese Sicht kann die technische Prüfung unterstützen, ob öffentlich erreichbare DataPower-Gateway-Instanzen in den Patchprozess einbezogen werden müssen.

Continuous Vendor Risk Management ergänzt diese technische Perspektive. Sicherheitsmeldungen von IBM können in die Bewertung des Herstellers einfließen, während die Prüfung der eigenen externen Infrastruktur separat erfolgt.

Bin ich betroffen?

Betroffen sind IBM DataPower Gateway 10.5.0, IBM DataPower Gateway 10.6.0, IBM DataPower Gateway 10.6 CD und IBM DataPower Gateway 11.0.0 in den oben genannten Versionen; die jeweils fehlerbereinigten Releases stehen in der Tabelle oben. Wer wissen will, ob IBM DataPower Gateway in der eigenen extern erreichbaren Infrastruktur überhaupt sichtbar ist, kann den CVE-Quick-Check am Ende dieses Artikels nutzen: Er zeigt exponierte Systeme und die von außen erkennbare Software.

Die konkret installierte Version lässt sich von außen nicht in jedem Fall bestimmen — ausschlaggebend ist der Abgleich mit dem Hersteller-Advisory.

Quellen und weitere Infos

• IBM: Security Advisory zu CVE-2026-16340 und weiteren CVEs
• IBM: Security Advisory zu CVE-2026-14990
• IBM: Fix Pack Index für DataPower Gateway
• IBM: Fix Packs für DataPower Gateway 10.5.0.x
• IBM: Fix Packs für DataPower Gateway 11.0.0.x
• VulDB: CVE-2026-16340

Stand: 09.10.2026. Dieser Beitrag dient allgemeinen Informationszwecken und ist keine Rechts-, Sicherheits- oder Handlungsberatung im Einzelfall. Sicherheitslage und Patch-Verfügbarkeit können sich seit der Veröffentlichung geändert haben; maßgeblich ist stets das verlinkte Hersteller-Advisory. Trotz sorgfältiger Recherche übernehmen wir keine Gewähr für Aktualität, Richtigkeit und Vollständigkeit.

---