{"id":99191,"date":"2026-10-08T16:27:57","date_gmt":"2026-10-08T14:27:57","guid":{"rendered":"https:\/\/locaterisk.com\/de\/?p=99191"},"modified":"2026-10-09T09:28:07","modified_gmt":"2026-10-09T07:28:07","slug":"ibm-datapower-gateway-rce-cve-2026-16340","status":"publish","type":"post","link":"https:\/\/locaterisk.com\/de\/ibm-datapower-gateway-rce-cve-2026-16340\/","title":{"rendered":"IBM DataPower Gateway: mehrere kritische Sicherheitsl\u00fccken (CVE-2026-16340, CVE-2026-14990, u. a.)"},"content":{"rendered":"\n<div class=\"wp-block-lr-blog-article-header-module\">\n    <div class=\"content\">\n\t\t<div class=\"headline\">\n\t\t\t<a class=\"to-blog-button\" href=\"https:\/\/locaterisk.com\/de\/blog\/\">\n\t\t\t\t<span class=\"to-blog-arrow\" aria-hidden=\"true\">\u2190<\/span>\n\t\t\t\t<span>Zur\u00fcck zum Blog<\/span>\n\t\t\t<\/a>\n\t\t\t<div class=\"article-meta\">\n\t\t\t\t\t\t\t\t\t<p class=\"post-updated\">Zuletzt aktualisiert: 9. Oktober 2026<\/p>\t\t\t\t\t\t\t\t\t\t\t<\/div>\n\t\t<\/div>\n        <div class=\"main-content\">\n\t\t\t<h1 class=\"title\">IBM DataPower Gateway: mehrere kritische Sicherheitsl\u00fccken (CVE-2026-16340, CVE-2026-14990, u. a.)<\/h1>\n\t\t\t\t\t\t\t<p class=\"paragraph\"><span class=\"lr-ai-disclosure\" style=\"display:block;margin:8px 0 28px;font-size:14px;line-height:1.4;color:#8b93a7;font-family:inherit;font-style:italic\">Dieser Text wurde mit k\u00fcnstlicher Intelligenz (KI) erstellt.<\/span><strong>Update 08.10.2026:<\/strong> Zus\u00e4tzlich wurden CVE-2026-14990 (CVSS 9.3) sowie f\u00fcnf weitere kritische Schwachstellen mit CVSS 9.8 (CVE-2026-15762, CVE-2026-14991, CVE-2026-14992, CVE-2026-14502, CVE-2026-14269) bekannt. Details siehe unten.<br><br>IBM hat f\u00fcr IBM DataPower Gateway die Schwachstelle <strong>CVE-2026-16340<\/strong> ver\u00f6ffentlicht, dokumentiert im IBM Security Advisory. Sie tr\u00e4gt einen CVSS-Score von <strong>9.8<\/strong>. Betroffene Gateways k\u00f6nnen \u00fcber das Netzwerk und ohne vorherige Authentifizierung zur Ausf\u00fchrung beliebigen Codes gebracht werden.<br><br>Die Ursache liegt laut IBM in einem Out-of-Bounds Write der Kategorie <strong>CWE-787<\/strong> im Parser f\u00fcr RFC2047 Encoded-Word-Eingaben. Speziell pr\u00e4parierte Eingaben k\u00f6nnen den Fehler ausl\u00f6sen.<br><br><a href=\"#cve-check\" class=\"lr-cveqc-jump\" style=\"display:inline-block;font-weight:700;color:#26d9c3;text-decoration:none\">Sind meine Systeme betroffen? Jetzt pr\u00fcfen \u2192<\/a><\/p>\n\t\t\t        <\/div>\n    <\/div>\n<\/div>\n\n\n\n\n<div class=\"wp-block-image\">\n<figure class=\"aligncenter size-full\"><img loading=\"lazy\" decoding=\"async\" width=\"400\" height=\"400\" src=\"https:\/\/locaterisk.com\/wp-content\/uploads\/2026\/07\/vulnerability-disclosure.png\" alt=\"IBM DataPower Gateway: mehrere kritische Sicherheitsl\u00fccken (CVE-2026-16340, CVE-2026-14990, u. a.)\" class=\"wp-image-9138\" srcset=\"https:\/\/locaterisk.com\/wp-content\/uploads\/2026\/07\/vulnerability-disclosure.png 400w, https:\/\/locaterisk.com\/wp-content\/uploads\/2026\/07\/vulnerability-disclosure-300x300.png 300w, https:\/\/locaterisk.com\/wp-content\/uploads\/2026\/07\/vulnerability-disclosure-150x150.png 150w, https:\/\/locaterisk.com\/wp-content\/uploads\/2026\/07\/vulnerability-disclosure-12x12.png 12w\" sizes=\"auto, (max-width: 400px) 100vw, 400px\" \/><\/figure>\n<\/div>\n\n\n<p class=\"wp-block-paragraph\"><strong>Auf einen Blick:<\/strong><\/p>\n\n\n\n<figure class=\"wp-block-table\"><table><thead><tr><th>Produkt \/ Komponente<\/th><th>Betroffene Versionen<\/th><th>Gepatcht in<\/th><\/tr><\/thead><tbody><tr><td>IBM DataPower Gateway 10.5.0<\/td><td>10.5.0.0, 10.5.0.1, 10.5.0.2, 10.5.0.3, 10.5.0.4, 10.5.0.5, 10.5.0.6, 10.5.0.7, 10.5.0.8, 10.5.0.9, 10.5.0.10, 10.5.0.11, 10.5.0.12, 10.5.0.13, 10.5.0.14, 10.5.0.15, 10.5.0.16, 10.5.0.17, 10.5.0.18, 10.5.0.19, 10.5.0.20, 10.5.0.21, 10.5.0.22<\/td><td>10.5.0.23, 10.6.0.11, 11.0.0.3<\/td><\/tr><tr><td>IBM DataPower Gateway 10.6.0<\/td><td>10.6.0.0, 10.6.0.1, 10.6.0.2, 10.6.0.3, 10.6.0.4, 10.6.0.5, 10.6.0.6, 10.6.0.7, 10.6.0.8, 10.6.0.9, 10.6.0.10<\/td><td>siehe Advisory<\/td><\/tr><tr><td>IBM DataPower Gateway 10.6 CD<\/td><td>10.6.1\u201310.6.6<\/td><td>11.0.0.3 (kein 10.6-CD-Fix)<\/td><\/tr><tr><td>IBM DataPower Gateway 11.0.0<\/td><td>11.0.0.0, 11.0.0.1, 11.0.0.2<\/td><td>siehe Advisory<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n<ul class=\"wp-block-list\">\n<li>Schwachstellen: <strong>CVE-2026-16340<\/strong> (<strong>CVSS 9.8<\/strong>, kritisch), <strong>CVE-2026-14990<\/strong> (<strong>CVSS 9.3<\/strong>, kritisch), <strong>CVE-2026-15762<\/strong> (<strong>CVSS 9.8<\/strong>, kritisch), <strong>CVE-2026-14991<\/strong> (<strong>CVSS 9.8<\/strong>, kritisch), <strong>CVE-2026-14992<\/strong> (<strong>CVSS 9.8<\/strong>, kritisch), <strong>CVE-2026-14502<\/strong> (<strong>CVSS 9.8<\/strong>, kritisch), <strong>CVE-2026-14269<\/strong> (<strong>CVSS 9.8<\/strong>, kritisch)<\/li>\n\n\n\n<li>Status: kein aktiver Missbrauch belegt<\/li>\n\n\n\n<li>Patch verf\u00fcgbar seit: 28.09.2026 (IBM-Bulletins 7289775 und 7289790)<\/li>\n<\/ul>\n\n\n\n<h2 class=\"wp-block-heading\"><strong>Betroffene Release-Streams<\/strong><\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Betroffen sind die folgenden IBM-DataPower-Gateway-Releases:<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>CVE-2026-16340, CVE-2026-15762, CVE-2026-14991, CVE-2026-14992, CVE-2026-14502, CVE-2026-14269:<\/strong><\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li><strong>10.5.0.0 bis 10.5.0.22<\/strong><\/li>\n\n\n\n<li><strong>10.6.0.0 bis 10.6.0.10<\/strong><\/li>\n\n\n\n<li><strong>10.6.1 bis 10.6.6<\/strong> im Release-Stream 10.6 CD<\/li>\n\n\n\n<li><strong>11.0.0.0 bis 11.0.0.2<\/strong><\/li>\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>CVE-2026-14990:<\/strong><\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li><strong>10.6.0.0 bis 10.6.0.10<\/strong><\/li>\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">Der CVSS-Vektor f\u00fcr CVE-2026-16340 ordnet den Fehler als \u00fcber das Netzwerk ausnutzbar ein. Er weist eine geringe Angriffskomplexit\u00e4t, keine erforderlichen Berechtigungen und keine Nutzerinteraktion aus. Vertraulichkeit, Integrit\u00e4t und Verf\u00fcgbarkeit sind jeweils mit hohen Auswirkungen bewertet.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\"><strong>Korrigierte Versionen und zeitlicher Ablauf<\/strong><\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">F\u00fcr die betroffenen Release-Streams stehen korrigierte Versionen bereit:<\/p>\n\n\n\n<figure class=\"wp-block-table\"><table><thead><tr><th>Betroffener Release-Stream<\/th><th>Korrigierte Version<\/th><\/tr><\/thead><tbody><tr><td>IBM DataPower Gateway 10.5.0<\/td><td>10.5.0.23<\/td><\/tr><tr><td>IBM DataPower Gateway 10.6.0<\/td><td>10.6.0.11<\/td><\/tr><tr><td>IBM DataPower Gateway 10.6 CD<\/td><td>11.0.0.3 (kein 10.6-CD-Fix)<\/td><\/tr><tr><td>IBM DataPower Gateway 11.0.0<\/td><td>11.0.0.3<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n<p class=\"wp-block-paragraph\">IBM hat die Fixes f\u00fcr CVE-2026-16340 und die f\u00fcnf zus\u00e4tzlichen kritischen Schwachstellen mit CVSS 9.8 am <strong>28. September 2026<\/strong> im Security-Bulletin 7289775 ver\u00f6ffentlicht. Die CVE-Ver\u00f6ffentlichung erfolgte am <strong>8. Oktober 2026<\/strong>. F\u00fcr keine der Schwachstellen ist eine aktive Ausnutzung dokumentiert.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">F\u00fcr den Release-Stream 10.6 CD nennt IBM im Bulletin 7289775 <strong>keine<\/strong> korrigierte 10.6-CD-Version; stattdessen wird 11.0.0.3 als Fix-Release angegeben. Organisationen, die 10.6 CD einsetzen, sollten pr\u00fcfen, ob ein Upgrade auf 11.0.0.3 m\u00f6glich ist oder ob tempor\u00e4re Ma\u00dfnahmen erforderlich sind.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\"><strong>CVE-2026-14990: Cross-Site Scripting im Release-Stream 10.6.0<\/strong><\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">IBM DataPower Gateway 10.6.0.0 bis 10.6.0.10 ist zus\u00e4tzlich von <strong>CVE-2026-14990<\/strong> betroffen, einer Cross-Site-Scripting-Schwachstelle mit einem CVSS-Score von <strong>9.3<\/strong>. Der CVSS-Vektor lautet CVSS:3.1\/AV:N\/AC:L\/PR:N\/UI:R\/S:C\/C:H\/I:H\/A:N. Die Schwachstelle erfordert Nutzerinteraktion, erm\u00f6glicht jedoch einem entfernten, nicht authentifizierten Angreifer die Kompromittierung von Vertraulichkeit und Integrit\u00e4t mit hoher Auswirkung. Der Scope ist als \u201eChanged&#8220; bewertet.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Laut IBM-Bulletin 7289790 (ver\u00f6ffentlicht am 28. September 2026) ist CVE-2026-14990 in Version <strong>10.6.0.11<\/strong> behoben.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\"><strong>CVE-2026-15762, CVE-2026-14991, CVE-2026-14992, CVE-2026-14502, CVE-2026-14269: f\u00fcnf weitere kritische Schwachstellen<\/strong><\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">IBM hat im selben Security Bulletin 7289775 f\u00fcnf weitere kritische Schwachstellen mit jeweils <strong>CVSS 9.8<\/strong> ver\u00f6ffentlicht. Alle f\u00fcnf betreffen dieselben Release-Streams wie CVE-2026-16340 und sind in denselben korrigierten Versionen behoben (10.5.0.23, 10.6.0.11, 11.0.0.3). Der CVSS-Vektor ist f\u00fcr alle f\u00fcnf identisch: <strong>CVSS:3.1\/AV:N\/AC:L\/PR:N\/UI:N\/S:U\/C:H\/I:H\/A:H<\/strong> \u2014 Netzwerk-basiert, geringe Komplexit\u00e4t, keine Authentifizierung, keine Nutzerinteraktion, hohe Auswirkung auf Vertraulichkeit, Integrit\u00e4t und Verf\u00fcgbarkeit.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\"><strong>CVE-2026-15762: Out-of-Bounds Write<\/strong><\/h3>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>CVE-2026-15762<\/strong> (CWE-787) ist ein Out-of-Bounds Write. Ein entfernter Angreifer kann beliebigen Code auf dem betroffenen System ausf\u00fchren. IBM nennt keine weiteren Details zur Ursache.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\"><strong>CVE-2026-14991: Buffer Overflow mit Widerspruch in der Beschreibung<\/strong><\/h3>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>CVE-2026-14991<\/strong> (CWE-787) ist ein Buffer Overflow durch fehlerhafte Grenzpr\u00fcfung. IBM beschreibt den Angreifer in der Bulletin-Zusammenfassung als <strong>lokalen Benutzer<\/strong>, bewertet die Schwachstelle jedoch mit dem Netzwerk-Vektor <strong>AV:N<\/strong> und CVSS 9.8. Diese Abweichung zwischen Beschreibung und CVSS-Vektor ist in den IBM-Angaben enthalten und wird hier unver\u00e4ndert wiedergegeben. Organisationen sollten das IBM-Bulletin konsultieren, um die tats\u00e4chliche Ausnutzbarkeit zu kl\u00e4ren.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\"><strong>CVE-2026-14992: Buffer Overflow<\/strong><\/h3>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>CVE-2026-14992<\/strong> (CWE-787) ist ein Buffer Overflow. IBM nennt keine weiteren Details zur Ursache oder zum Angriffsweg.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\"><strong>CVE-2026-14502: leere Passw\u00f6rter bei LDAP-Authentifizierung<\/strong><\/h3>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>CVE-2026-14502<\/strong> (CWE-287) betrifft die LDAP-Authentifizierung. Leere Passw\u00f6rter werden nicht abgewiesen. Ein entfernter Angreifer kann dadurch administrativen Zugriff auf das System erlangen.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\"><strong>CVE-2026-14269: Heap-basierter Buffer Overflow<\/strong><\/h3>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>CVE-2026-14269<\/strong> (CWE-122 laut NVD) ist ein Heap-basierter Buffer Overflow. Ein nicht authentifizierter entfernter Angreifer kann beliebigen Code ausf\u00fchren.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">F\u00fcr keine der f\u00fcnf Schwachstellen ist eine aktive Ausnutzung dokumentiert. IBM nennt keine Workarounds.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\"><strong>Priorisierung der Abhilfe<\/strong><\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Organisationen sollten zun\u00e4chst feststellen, ob einer der betroffenen Release-St\u00e4nde eingesetzt wird. Anschlie\u00dfend ist die f\u00fcr den jeweiligen Release-Stream vorgesehene korrigierte Version einzuplanen und der erreichte Update-Stand zu pr\u00fcfen.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">F\u00fcr die Release-Streams 10.5.0, 10.6.0 und 11.0.0 stehen korrigierte Versionen bereit (10.5.0.23, 10.6.0.11, 11.0.0.3). F\u00fcr den Release-Stream 10.6 CD nennt IBM im Bulletin 7289775 keine korrigierte 10.6-CD-Version; stattdessen wird 11.0.0.3 als Fix-Release angegeben. Organisationen, die 10.6 CD einsetzen, sollten pr\u00fcfen, ob ein Upgrade auf 11.0.0.3 m\u00f6glich ist oder ob tempor\u00e4re Ma\u00dfnahmen erforderlich sind.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Falls ein Update nicht unmittelbar m\u00f6glich ist, kann als tempor\u00e4re Ma\u00dfnahme die Einschr\u00e4nkung des Netzwerkzugangs zum Gateway erwogen werden. Zus\u00e4tzlich kann gepr\u00fcft werden, ob RFC2047-basierte Eingaben aus externen Quellen gefiltert oder validiert werden k\u00f6nnen. F\u00fcr CVE-2026-14990 sollten Eingaben, die zu Cross-Site-Scripting f\u00fchren k\u00f6nnen, validiert und gefiltert werden. F\u00fcr CVE-2026-14502 sollte die LDAP-Authentifizierung gepr\u00fcft und sichergestellt werden, dass leere Passw\u00f6rter abgewiesen werden, solange ein Update aussteht.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">F\u00fcr die weitere Steuerung geh\u00f6ren IBM DataPower Gateway und zugeh\u00f6rige Sicherheitsmeldungen in ein fortlaufendes Schwachstellen- und Vendor-Risk-Monitoring.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">IBM DataPower Gateway wird in vielen Branchen als zentrales API- und Integrations-Gateway eingesetzt \u2014 darunter Finanzdienstleister, die unter die DORA-Verordnung der EU fallen, sowie Betreiber kritischer Infrastrukturen in Deutschland und \u00d6sterreich, f\u00fcr die NIS-2-Umsetzungspflichten gelten (in \u00d6sterreich \u00fcber das NISG). Unternehmen in der Schweiz unterliegen dem revidierten Informationssicherheitsgesetz (ISG) mit Meldepflicht ans BACS. Sollte eine erfolgreiche Ausnutzung zur Verarbeitung oder zum Abfluss personenbezogener Daten f\u00fchren, greift zudem die DSGVO-Meldepflicht nach Art. 33 mit einer 72-Stunden-Frist gegen\u00fcber der zust\u00e4ndigen Aufsichtsbeh\u00f6rde.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\"><strong>Extern erreichbare DataPower-Gateways einordnen<\/strong><\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">IBM DataPower Gateway kann als extern erreichbarer Dienst unter einer eigenen Domain betrieben werden. Bei den vorliegenden Schwachstellen ist daher zun\u00e4chst relevant, welche Gateways \u00f6ffentlich sichtbar sind und welche eingesetzte Software dort erkennbar ist.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">LocateRisk unterst\u00fctzt im External Attack Surface Management dabei, extern erreichbare Systeme und eingesetzte Software sichtbar zu machen. Diese Sicht kann die technische Pr\u00fcfung unterst\u00fctzen, ob \u00f6ffentlich erreichbare DataPower-Gateway-Instanzen in den Patchprozess einbezogen werden m\u00fcssen.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Continuous Vendor Risk Management erg\u00e4nzt diese technische Perspektive. Sicherheitsmeldungen von IBM k\u00f6nnen in die Bewertung des Herstellers einflie\u00dfen, w\u00e4hrend die Pr\u00fcfung der eigenen externen Infrastruktur separat erfolgt.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\"><strong>Bin ich betroffen?<\/strong><\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Betroffen sind IBM DataPower Gateway 10.5.0, IBM DataPower Gateway 10.6.0, IBM DataPower Gateway 10.6 CD und IBM DataPower Gateway 11.0.0 in den oben genannten Versionen; die jeweils fehlerbereinigten Releases stehen in der Tabelle oben. Wer wissen will, ob IBM DataPower Gateway in der eigenen extern erreichbaren Infrastruktur \u00fcberhaupt sichtbar ist, kann den <a href=\"#cve-check\" target=\"_blank\" rel=\"noreferrer noopener\">CVE-Quick-Check<\/a> am Ende dieses Artikels nutzen: Er zeigt exponierte Systeme und die von au\u00dfen erkennbare Software.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Die konkret installierte Version l\u00e4sst sich von au\u00dfen nicht in jedem Fall bestimmen \u2014 ausschlaggebend ist der Abgleich mit dem Hersteller-Advisory.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\"><strong>Quellen und weitere Infos<\/strong><\/h2>\n\n\n\n<ul class=\"wp-block-list\">\n<li><strong>IBM:<\/strong> <a href=\"https:\/\/www.ibm.com\/support\/pages\/node\/7289775\" target=\"_blank\" rel=\"noreferrer noopener\">Security Advisory zu CVE-2026-16340 und weiteren CVEs<\/a><\/li>\n\n\n\n<li><strong>IBM:<\/strong> <a href=\"https:\/\/www.ibm.com\/support\/pages\/node\/7289790\" target=\"_blank\" rel=\"noreferrer noopener\">Security Advisory zu CVE-2026-14990<\/a><\/li>\n\n\n\n<li><strong>IBM:<\/strong> <a href=\"https:\/\/www.ibm.com\/support\/pages\/available-ibm-datapower-gateway-firmware-fix-packs-and-update-packages\" target=\"_blank\" rel=\"noreferrer noopener\">Fix Pack Index f\u00fcr DataPower Gateway<\/a><\/li>\n\n\n\n<li><strong>IBM:<\/strong> <a href=\"https:\/\/www.ibm.com\/support\/pages\/fix-packs-datapower-gateway-1050x\" target=\"_blank\" rel=\"noreferrer noopener\">Fix Packs f\u00fcr DataPower Gateway 10.5.0.x<\/a><\/li>\n\n\n\n<li><strong>IBM:<\/strong> <a href=\"https:\/\/www.ibm.com\/support\/pages\/fix-packs-datapower-gateway-1100x\" target=\"_blank\" rel=\"noreferrer noopener\">Fix Packs f\u00fcr DataPower Gateway 11.0.0.x<\/a><\/li>\n\n\n\n<li><strong>VulDB:<\/strong> <a href=\"https:\/\/vuldb.com\/vuln\/415378\" target=\"_blank\" rel=\"noreferrer noopener\">CVE-2026-16340<\/a><\/li>\n<\/ul>\n\n\n\n<div class=\"wp-block-lr-faq-module\"><div class=\"content\"><h3><strong>H\u00e4ufige Fragen<\/strong><\/h3><div class=\"faq-topic\"><hr\/><div class=\"collapsible-title\"><a class=\"pr-4\"><strong>Was ist CVE-2026-16340?<\/strong><\/a><img class=\"collapse-toggle\" srcset=\"https:\/\/locaterisk.com\/wp-content\/plugins\/locate-risk-prod\/lr-blocks\/faq-module\/img\/ic-plus@3x.png 3x,https:\/\/locaterisk.com\/wp-content\/plugins\/locate-risk-prod\/lr-blocks\/faq-module\/img\/ic-plus@2x.png 2x,https:\/\/locaterisk.com\/wp-content\/plugins\/locate-risk-prod\/lr-blocks\/faq-module\/img\/ic-plus.png 1x\"\/><\/div><div class=\"collapsible-content\"><p class=\"font-normal\">CVE-2026-16340 ist eine kritische Sicherheitsl\u00fccke in IBM DataPower Gateway mit einem CVSS-Score von 9.8. Sie beruht auf einem Out-of-Bounds Write (CWE-787) im Parser f\u00fcr RFC2047 Encoded-Word-Eingaben und erm\u00f6glicht einem entfernten, nicht authentifizierten Angreifer die Ausf\u00fchrung beliebigen Codes auf dem betroffenen System.<\/p><\/div><\/div><div class=\"faq-topic\"><hr\/><div class=\"collapsible-title\"><a class=\"pr-4\"><strong>Was ist CVE-2026-14990?<\/strong><\/a><img class=\"collapse-toggle\" srcset=\"https:\/\/locaterisk.com\/wp-content\/plugins\/locate-risk-prod\/lr-blocks\/faq-module\/img\/ic-plus@3x.png 3x,https:\/\/locaterisk.com\/wp-content\/plugins\/locate-risk-prod\/lr-blocks\/faq-module\/img\/ic-plus@2x.png 2x,https:\/\/locaterisk.com\/wp-content\/plugins\/locate-risk-prod\/lr-blocks\/faq-module\/img\/ic-plus.png 1x\"\/><\/div><div class=\"collapsible-content\"><p class=\"font-normal\">CVE-2026-14990 ist eine kritische Cross-Site-Scripting-Schwachstelle in IBM DataPower Gateway 10.6.0.0 bis 10.6.0.10 mit einem CVSS-Score von 9.3. Sie erm\u00f6glicht einem entfernten, nicht authentifizierten Angreifer die Kompromittierung von Vertraulichkeit und Integrit\u00e4t, erfordert jedoch Nutzerinteraktion.<\/p><\/div><\/div><div class=\"faq-topic\"><hr\/><div class=\"collapsible-title\"><a class=\"pr-4\"><strong>Was sind CVE-2026-15762, CVE-2026-14991, CVE-2026-14992, CVE-2026-14502 und CVE-2026-14269?<\/strong><\/a><img class=\"collapse-toggle\" srcset=\"https:\/\/locaterisk.com\/wp-content\/plugins\/locate-risk-prod\/lr-blocks\/faq-module\/img\/ic-plus@3x.png 3x,https:\/\/locaterisk.com\/wp-content\/plugins\/locate-risk-prod\/lr-blocks\/faq-module\/img\/ic-plus@2x.png 2x,https:\/\/locaterisk.com\/wp-content\/plugins\/locate-risk-prod\/lr-blocks\/faq-module\/img\/ic-plus.png 1x\"\/><\/div><div class=\"collapsible-content\"><p class=\"font-normal\">Diese f\u00fcnf Schwachstellen sind ebenfalls kritisch (jeweils CVSS 9.8) und betreffen dieselben Release-Streams wie CVE-2026-16340. CVE-2026-15762 ist ein Out-of-Bounds Write. CVE-2026-14991 ist ein Buffer Overflow (IBM beschreibt den Angreifer als lokal, bewertet aber mit Netzwerk-Vektor AV:N). CVE-2026-14992 ist ein Buffer Overflow ohne weitere Details. CVE-2026-14502 betrifft die LDAP-Authentifizierung (leere Passw\u00f6rter werden nicht abgewiesen). CVE-2026-14269 ist ein Heap-basierter Buffer Overflow.<\/p><\/div><\/div><div class=\"faq-topic\"><hr\/><div class=\"collapsible-title\"><a class=\"pr-4\"><strong>Welche Versionen von IBM DataPower Gateway sind betroffen?<\/strong><\/a><img class=\"collapse-toggle\" srcset=\"https:\/\/locaterisk.com\/wp-content\/plugins\/locate-risk-prod\/lr-blocks\/faq-module\/img\/ic-plus@3x.png 3x,https:\/\/locaterisk.com\/wp-content\/plugins\/locate-risk-prod\/lr-blocks\/faq-module\/img\/ic-plus@2x.png 2x,https:\/\/locaterisk.com\/wp-content\/plugins\/locate-risk-prod\/lr-blocks\/faq-module\/img\/ic-plus.png 1x\"\/><\/div><div class=\"collapsible-content\"><p class=\"font-normal\">F\u00fcr CVE-2026-16340 und die f\u00fcnf zus\u00e4tzlichen kritischen Schwachstellen (CVE-2026-15762, CVE-2026-14991, CVE-2026-14992, CVE-2026-14502, CVE-2026-14269) sind die Release-Streams 10.5.0.0 bis 10.5.0.22, 10.6.0.0 bis 10.6.0.10, 10.6.1 bis 10.6.6 (10.6 CD) sowie 11.0.0.0 bis 11.0.0.2 betroffen. F\u00fcr CVE-2026-14990 sind die Versionen 10.6.0.0 bis 10.6.0.10 betroffen. IBM stellt f\u00fcr die Streams 10.5.0, 10.6.0 und 11.0.0 korrigierte Versionen bereit: 10.5.0.23, 10.6.0.11 und 11.0.0.3. F\u00fcr den Stream 10.6 CD nennt IBM keine korrigierte 10.6-CD-Version; stattdessen wird 11.0.0.3 als Fix-Release angegeben.<\/p><\/div><\/div><div class=\"faq-topic\"><hr\/><div class=\"collapsible-title\"><a class=\"pr-4\"><strong>Wie sch\u00fctzen Organisationen ihre Systeme?<\/strong><\/a><img class=\"collapse-toggle\" srcset=\"https:\/\/locaterisk.com\/wp-content\/plugins\/locate-risk-prod\/lr-blocks\/faq-module\/img\/ic-plus@3x.png 3x,https:\/\/locaterisk.com\/wp-content\/plugins\/locate-risk-prod\/lr-blocks\/faq-module\/img\/ic-plus@2x.png 2x,https:\/\/locaterisk.com\/wp-content\/plugins\/locate-risk-prod\/lr-blocks\/faq-module\/img\/ic-plus.png 1x\"\/><\/div><div class=\"collapsible-content\"><p class=\"font-normal\">Der prim\u00e4re Schutz besteht in der zeitnahen Aktualisierung auf die jeweilige korrigierte Version. Erg\u00e4nzend kann gepr\u00fcft werden, ob der Netzwerkzugang zum Gateway eingeschr\u00e4nkt und RFC2047-basierte Eingaben aus externen Quellen gefiltert werden k\u00f6nnen, solange ein Update noch aussteht. F\u00fcr CVE-2026-14990 sollten Eingaben, die zu Cross-Site-Scripting f\u00fchren k\u00f6nnen, validiert und gefiltert werden. F\u00fcr CVE-2026-14502 sollte die LDAP-Authentifizierung gepr\u00fcft und sichergestellt werden, dass leere Passw\u00f6rter abgewiesen werden.<\/p><\/div><\/div><\/div><\/div>\n\n\n\n<script type=\"application\/ld+json\">{\"@context\":\"https:\/\/schema.org\",\"@type\":\"FAQPage\",\"@id\":\"https:\/\/locaterisk.com\/de\/ibm-datapower-gateway-rce-cve-2026-16340\/#faq\",\"url\":\"https:\/\/locaterisk.com\/de\/ibm-datapower-gateway-rce-cve-2026-16340\/\",\"mainEntityOfPage\":{\"@id\":\"https:\/\/locaterisk.com\/de\/ibm-datapower-gateway-rce-cve-2026-16340\/\"},\"mainEntity\":[{\"@type\":\"Question\",\"name\":\"Was ist CVE-2026-16340?\",\"acceptedAnswer\":{\"@type\":\"Answer\",\"text\":\"CVE-2026-16340 ist eine kritische Sicherheitsl\u00fccke in IBM DataPower Gateway mit einem CVSS-Score von 9.8. Sie beruht auf einem Out-of-Bounds Write (CWE-787) im Parser f\u00fcr RFC2047 Encoded-Word-Eingaben und erm\u00f6glicht einem entfernten, nicht authentifizierten Angreifer die Ausf\u00fchrung beliebigen Codes auf dem betroffenen System.\"}},{\"@type\":\"Question\",\"name\":\"Was ist CVE-2026-14990?\",\"acceptedAnswer\":{\"@type\":\"Answer\",\"text\":\"CVE-2026-14990 ist eine kritische Cross-Site-Scripting-Schwachstelle in IBM DataPower Gateway 10.6.0.0 bis 10.6.0.10 mit einem CVSS-Score von 9.3. Sie erm\u00f6glicht einem entfernten, nicht authentifizierten Angreifer die Kompromittierung von Vertraulichkeit und Integrit\u00e4t, erfordert jedoch Nutzerinteraktion.\"}},{\"@type\":\"Question\",\"name\":\"Was sind CVE-2026-15762, CVE-2026-14991, CVE-2026-14992, CVE-2026-14502 und CVE-2026-14269?\",\"acceptedAnswer\":{\"@type\":\"Answer\",\"text\":\"Diese f\u00fcnf Schwachstellen sind ebenfalls kritisch (jeweils CVSS 9.8) und betreffen dieselben Release-Streams wie CVE-2026-16340. CVE-2026-15762 ist ein Out-of-Bounds Write. CVE-2026-14991 ist ein Buffer Overflow (IBM beschreibt den Angreifer als lokal, bewertet aber mit Netzwerk-Vektor AV:N). CVE-2026-14992 ist ein Buffer Overflow ohne weitere Details. CVE-2026-14502 betrifft die LDAP-Authentifizierung (leere Passw\u00f6rter werden nicht abgewiesen). CVE-2026-14269 ist ein Heap-basierter Buffer Overflow.\"}},{\"@type\":\"Question\",\"name\":\"Welche Versionen von IBM DataPower Gateway sind betroffen?\",\"acceptedAnswer\":{\"@type\":\"Answer\",\"text\":\"F\u00fcr CVE-2026-16340 und die f\u00fcnf zus\u00e4tzlichen kritischen Schwachstellen (CVE-2026-15762, CVE-2026-14991, CVE-2026-14992, CVE-2026-14502, CVE-2026-14269) sind die Release-Streams 10.5.0.0 bis 10.5.0.22, 10.6.0.0 bis 10.6.0.10, 10.6.1 bis 10.6.6 (10.6 CD) sowie 11.0.0.0 bis 11.0.0.2 betroffen. F\u00fcr CVE-2026-14990 sind die Versionen 10.6.0.0 bis 10.6.0.10 betroffen. IBM stellt f\u00fcr die Streams 10.5.0, 10.6.0 und 11.0.0 korrigierte Versionen bereit: 10.5.0.23, 10.6.0.11 und 11.0.0.3. F\u00fcr den Stream 10.6 CD nennt IBM keine korrigierte 10.6-CD-Version; stattdessen wird 11.0.0.3 als Fix-Release angegeben.\"}},{\"@type\":\"Question\",\"name\":\"Wie sch\u00fctzen Organisationen ihre Systeme?\",\"acceptedAnswer\":{\"@type\":\"Answer\",\"text\":\"Der prim\u00e4re Schutz besteht in der zeitnahen Aktualisierung auf die jeweilige korrigierte Version. Erg\u00e4nzend kann gepr\u00fcft werden, ob der Netzwerkzugang zum Gateway eingeschr\u00e4nkt und RFC2047-basierte Eingaben aus externen Quellen gefiltert werden k\u00f6nnen, solange ein Update noch aussteht. F\u00fcr CVE-2026-14990 sollten Eingaben, die zu Cross-Site-Scripting f\u00fchren k\u00f6nnen, validiert und gefiltert werden. F\u00fcr CVE-2026-14502 sollte die LDAP-Authentifizierung gepr\u00fcft und sichergestellt werden, dass leere Passw\u00f6rter abgewiesen werden.\"}}]}<\/script>\n\n\n<p class=\"lr-legal-note\" style=\"margin:32px 0 0;padding-top:16px;border-top:1px solid #e5e7eb;font-size:13px;line-height:1.55;color:#8b93a7;font-style:italic;\">Stand: 09.10.2026. Dieser Beitrag dient allgemeinen Informationszwecken und ist keine Rechts-, Sicherheits- oder Handlungsberatung im Einzelfall. Sicherheitslage und Patch-Verf\u00fcgbarkeit k\u00f6nnen sich seit der Ver\u00f6ffentlichung ge\u00e4ndert haben; ma\u00dfgeblich ist stets das verlinkte Hersteller-Advisory. Trotz sorgf\u00e4ltiger Recherche \u00fcbernehmen wir keine Gew\u00e4hr f\u00fcr Aktualit\u00e4t, Richtigkeit und Vollst\u00e4ndigkeit.<\/p>\n\n\n<div id=\"cve-check\" style=\"scroll-margin-top:100px\"><\/div>\n\n\n\n\t<div class=\"wp-block-lr-cve-quick-check lr-cveqc\">\n\t\t<div class=\"lr-cveqc-inner\">\n\n\t\t\t<div class=\"lr-cveqc-story\">\n\t\t\t\t<h2 class=\"lr-cveqc-headline\">CVE Quick Check<\/h2>\n\t\t\t\t<p class=\"lr-cveqc-text\">Pr\u00fcfen Sie in wenigen Minuten, ob zu einer aktuellen CVE Hinweise auf Ihrer extern sichtbaren Angriffsfl\u00e4che erkennbar sind.<\/p>\n\n\t\t\t\t<ul class=\"lr-cveqc-bullets\">\n\t\t\t\t\t<li><svg viewBox=\"0 0 26 26\" fill=\"none\" aria-hidden=\"true\"><circle cx=\"13\" cy=\"13\" r=\"12\" stroke=\"#00051d\" stroke-width=\"1.6\"\/><path d=\"M7.5 13.4l3.7 3.6L18.5 9\" stroke=\"#00051d\" stroke-width=\"2\" stroke-linecap=\"round\" stroke-linejoin=\"round\"\/><\/svg><span>Erste Einsch\u00e4tzung in wenigen Minuten per E-Mail.<\/span><\/li>\t\t\t\t\t<li><svg viewBox=\"0 0 26 26\" fill=\"none\" aria-hidden=\"true\"><circle cx=\"13\" cy=\"13\" r=\"12\" stroke=\"#00051d\" stroke-width=\"1.6\"\/><path d=\"M7.5 13.4l3.7 3.6L18.5 9\" stroke=\"#00051d\" stroke-width=\"2\" stroke-linecap=\"round\" stroke-linejoin=\"round\"\/><\/svg><span>Details im kostenlosen Gespr\u00e4ch mit einem LocateRisk Consultant.<\/span><\/li>\t\t\t\t<\/ul>\n\n\t\t\t\t\t\t\t\t<div class=\"lr-cveqc-teaser\" aria-hidden=\"true\">\n\t\t\t\t\t<h4>Das erhalten Sie per E-Mail<\/h4>\n\t\t\t\t\t<div class=\"lr-cveqc-trow\"><span class=\"k\">Unternehmen<\/span><span class=\"v\">Ihre Firma GmbH<\/span><\/div>\n\t\t\t\t\t\t\t\t\t\t<div class=\"lr-cveqc-trow\"><span class=\"k\">Gepr\u00fcfte CVE<\/span><span class=\"v\">CVE-2026-16340<\/span><\/div>\n\t\t\t\t\t<div class=\"lr-cveqc-trow\"><span class=\"k\">Passive Bewertung<\/span><span class=\"lr-cveqc-lamp\"><i class=\"r\"><\/i><i class=\"y\"><\/i><i class=\"g\"><\/i><\/span><\/div>\t\t\t\t\t<div class=\"lr-cveqc-trow\"><span class=\"k\">Hinweise zur CVE<\/span><span class=\"lr-cveqc-pill\">gefunden oder nicht gefunden<\/span><\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t\t\t<\/div>\n\n\t\t\t<div class=\"lr-cveqc-form-col\">\n\t\t\t\t<form id=\"lr-cveqc-1\" class=\"lr-cveqc-form\" method=\"post\" novalidate\n\t\t\t\t\tdata-ajax-url=\"https:\/\/locaterisk.com\/wp-admin\/admin-ajax.php\">\n\n\t\t\t\t\t<input type=\"text\" name=\"cveId\" required maxlength=\"40\"\n\t\t\t\t\t\tpattern=\"^[Cc][Vv][Ee]-\\d{4}-\\d{4,7}$\"\n\t\t\t\t\t\tvalue=\"CVE-2026-16340\"\n\t\t\t\t\t\tplaceholder=\"CVE-ID, z. B. CVE-2024-3094\" \/>\n\n\t\t\t\t\t<input type=\"email\" name=\"email\" required maxlength=\"320\"\n\t\t\t\t\t\tplaceholder=\"Gesch\u00e4ftliche E-Mail-Adresse\" \/>\n\t\t\t\t\t<p class=\"lr-cveqc-hint\">Bitte verwenden Sie Ihre gesch\u00e4ftliche E-Mail-Adresse. Die Pr\u00fcfung bezieht sich auf das Unternehmen hinter Ihrer E-Mail-Domain; Free-Mail-Adressen (z. B. Gmail) k\u00f6nnen keinem Unternehmen zugeordnet werden.<\/p>\n\n\t\t\t\t\t<!-- Optionale Telefonnummer: nur wer sie angibt, willigt laut Consent-Text\n\t\t\t\t\t     auch in eine telefonische Rueckmeldung ein. autocomplete=\"tel\" ist\n\t\t\t\t\t     gewollt (echtes Feld, kein Honeypot). -->\n\t\t\t\t\t<input type=\"tel\" name=\"phone\" maxlength=\"64\" autocomplete=\"tel\"\n\t\t\t\t\t\tplaceholder=\"Telefon (optional)\" \/>\n\t\t\t\t\t<p class=\"lr-cveqc-hint\">Nur n\u00f6tig, wenn Sie eine kurze telefonische Einordnung m\u00f6chten.<\/p>\n\n\t\t\t\t\t<!-- Honeypot: f\u00fcr Menschen unsichtbar, Bots f\u00fcllen es aus.\n\t\t\t\t\t     Neutraler Feldname (NICHT \"website\"\/\"url\"\/\"email\"), sonst f\u00fcllen\n\t\t\t\t\t     Passwort-Manager und Browser-Autofill das Feld beim echten Nutzer\n\t\t\t\t\t     und blocken ihn faelschlich. -->\n\t\t\t\t\t<div class=\"lr-cveqc-hp\" aria-hidden=\"true\">\n\t\t\t\t\t\t<label>Dieses Feld bitte leer lassen\n\t\t\t\t\t\t\t<input type=\"text\" name=\"lr_hp_check\" tabindex=\"-1\" autocomplete=\"off\" \/>\n\t\t\t\t\t\t<\/label>\n\t\t\t\t\t<\/div>\n\n\t\t\t\t\t<label class=\"lr-cveqc-check\">\n\t\t\t\t\t\t<input type=\"checkbox\" name=\"consentProcessingAccepted\" value=\"1\" required \/>\n\t\t\t\t\t\t<span>Ich stimme zu, dass LocateRisk meine Angaben f\u00fcr den Quick Check verarbeitet, mir das Ergebnis per E-Mail schickt und sich dazu per E-Mail bei mir meldet. Es gelten die <a href=\"\/files\/agb.pdf\" target=\"_blank\" rel=\"noopener\">AGB<\/a> und die <a href=\"\/datenschutz\/\" target=\"_blank\" rel=\"noopener\">Datenschutzerkl\u00e4rung<\/a>.<\/span>\n\t\t\t\t\t<\/label>\n\n\t\t\t\t\t<label class=\"lr-cveqc-check\">\n\t\t\t\t\t\t<input type=\"checkbox\" name=\"cveNotifyOptIn\" value=\"1\" \/>\n\t\t\t\t\t\t<span>Benachrichtigt mich, wenn f\u00fcr extern erkennbare Software neue kritische Schwachstellen (CVSS ab 9) ver\u00f6ffentlicht werden. Jederzeit abbestellbar. (optional)<\/span>\n\t\t\t\t\t<\/label>\n\n\t\t\t\t\t<label class=\"lr-cveqc-check\">\n\t\t\t\t\t\t<input type=\"checkbox\" name=\"marketingOptIn\" value=\"1\" \/>\n\t\t\t\t\t\t<span>Infos zu LocateRisk Produkten und Security-Themen per E-Mail. Jederzeit widerrufbar. (optional)<\/span>\n\t\t\t\t\t<\/label>\n\n\t\t\t\t\t\t\t\t\t\t<input type=\"hidden\" name=\"consentTextVerbatim\" value=\"Ich stimme zu, dass LocateRisk meine Angaben f\u00fcr den Quick Check verarbeitet, mir das Ergebnis per E-Mail schickt und sich dazu per E-Mail bei mir meldet. Es gelten die AGB und die Datenschutzerkl\u00e4rung.\" \/>\n\t\t\t\t\t<input type=\"hidden\" name=\"consentTextVersion\" value=\"qc_consent_fd4a0945\" \/>\n\t\t\t\t\t<input type=\"hidden\" name=\"marketingTextVerbatim\" value=\"Infos zu LocateRisk Produkten und Security-Themen per E-Mail. Jederzeit widerrufbar. (optional)\" \/>\n\t\t\t\t\t<input type=\"hidden\" name=\"marketingTextVersion\" value=\"qc_marketing_cee62603\" \/>\n\t\t\t\t\t<input type=\"hidden\" name=\"locale\" value=\"de\" \/>\n\t\t\t\t\t<input type=\"hidden\" name=\"blogPostUrl\" value=\"https:\/\/locaterisk.com\/de\/ibm-datapower-gateway-rce-cve-2026-16340\/\" \/>\n\t\t\t\t\t<input type=\"hidden\" name=\"utmSource\" value=\"\" \/>\n\t\t\t\t\t<input type=\"hidden\" name=\"utmCampaign\" value=\"\" \/>\n\t\t\t\t\t<input type=\"hidden\" name=\"invalidCveMessage\" value=\"Bitte geben Sie eine g\u00fcltige CVE-ID an (z. B. CVE-2024-3094).\" \/>\n\t\t\t\t\t<input type=\"hidden\" name=\"consentRequiredMessage\" value=\"Bitte stimmen Sie der Verarbeitung zu, damit wir den Quick Check durchf\u00fchren k\u00f6nnen.\" \/>\n\t\t\t\t\t<input type=\"hidden\" name=\"captchaMessage\" value=\"Bitte best\u00e4tigen Sie das reCAPTCHA und versuchen Sie es erneut.\" \/>\n\t\t\t\t\t<input type=\"hidden\" name=\"successMessage\" value=\"Vielen Dank! Bitte best\u00e4tigen Sie Ihre E-Mail-Adresse \u00fcber den Link, den wir Ihnen soeben geschickt haben. Danach starten wir den Quick Check.\" \/>\n\t\t\t\t\t<input type=\"hidden\" name=\"errorMessage\" value=\"Das hat leider nicht geklappt. Bitte pr\u00fcfen Sie Ihre Angaben und versuchen Sie es erneut.\" \/>\n\n\t\t\t\t\t\t\t\t\t\t\t<div class=\"g-recaptcha\" data-sitekey=\"6LdErNoZAAAAAD1Re2jNxtDFfcDaL9iED5MRBzjR\"\n\t\t\t\t\t\t\tdata-callback=\"verifyRecaptchaCallback\" data-expired-callback=\"expiredRecaptchaCallback\"><\/div>\n\t\t\t\t\t\t<input type=\"hidden\" name=\"g-recaptcha-response\" data-recaptcha \/>\n\t\t\t\t\t\n\t\t\t\t\t<p class=\"lr-cveqc-message\" hidden><\/p>\n\n\t\t\t\t\t<button class=\"lr-button-link\" type=\"submit\">Quick Check starten<\/button>\n\t\t\t\t<\/form>\n\t\t\t<\/div>\n\n\t\t<\/div>\n\t<\/div>\n\n\t\t<style>\n\t\t\/* CVE Quick Check im Stil der bestehenden Anfrage-Formulare:\n\t\t   wei\u00dfer Grund, zweispaltig, graue Felder, t\u00fcrkiser Button. *\/\n\t\t.lr-cveqc {\n\t\t\tbackground: #ffffff; color: #00051d; box-sizing: border-box; padding: 64px 32px;\n\t\t\tfont-family: Roboto, -apple-system, BlinkMacSystemFont, \"Segoe UI\", Helvetica, Arial, sans-serif;\n\t\t}\n\t\t.lr-cveqc * { box-sizing: border-box; }\n\t\t.lr-cveqc-inner {\n\t\t\tmax-width: 1160px; margin: 0 auto;\n\t\t\tdisplay: flex; flex-direction: row; gap: 6%; align-items: flex-start;\n\t\t}\n\t\t.lr-cveqc-story { flex: 1 1 54%; min-width: 0; }\n\t\t.lr-cveqc-form-col { flex: 0 0 38%; max-width: 420px; }\n\n\t\t.lr-cveqc-headline { color: #26d9c3; margin: 0 0 20px; }\n\t\t.lr-cveqc-text { font-size: 16px; line-height: 1.62; color: #00051d; margin: 0 0 28px; max-width: 46ch; }\n\n\t\t.lr-cveqc-bullets { list-style: none; margin: 0 0 30px; padding: 0; display: flex; flex-direction: column; gap: 16px; }\n\t\t.lr-cveqc-bullets li { display: flex; gap: 13px; align-items: flex-start; }\n\t\t.lr-cveqc-bullets svg { flex: none; width: 25px; height: 25px; margin-top: 1px; }\n\t\t.lr-cveqc-bullets span { font-size: 15px; line-height: 1.5; color: #00051d; }\n\n\t\t.lr-cveqc-teaser { border: 1px solid #e2e8e6; border-radius: 12px; padding: 18px 20px; background: linear-gradient(180deg,#fbfdfc,#f2f8f6); max-width: 430px; }\n\t\t.lr-cveqc-teaser h4 { margin: 0 0 6px; font-size: 11px; letter-spacing: .15em; text-transform: uppercase; color: #58616f; font-family: inherit; font-weight: 700; }\n\t\t.lr-cveqc-trow { display: flex; align-items: center; justify-content: space-between; gap: 10px; padding: 7px 0; font-size: 13.5px; }\n\t\t.lr-cveqc-trow + .lr-cveqc-trow { border-top: 1px dashed #dbe4e1; }\n\t\t.lr-cveqc-trow .k { color: #58616f; }\n\t\t.lr-cveqc-trow .v { font-weight: 600; color: #00051d; }\n\t\t.lr-cveqc-lamp { display: inline-flex; gap: 6px; align-items: center; }\n\t\t.lr-cveqc-lamp i { width: 13px; height: 13px; border-radius: 50%; opacity: .28; display: inline-block; }\n\t\t.lr-cveqc-lamp i.r { background: #f6105f; }\n\t\t.lr-cveqc-lamp i.y { background: #f6bf28; }\n\t\t.lr-cveqc-lamp i.g { background: #23c39a; }\n\t\t.lr-cveqc-pill { font-size: 12px; font-weight: 700; padding: 3px 10px; border-radius: 999px; background: #eef0f4; color: #00051d; white-space: nowrap; }\n\n\t\t.lr-cveqc-form input[type=text], .lr-cveqc-form input[type=email], .lr-cveqc-form input[type=tel] {\n\t\t\tdisplay: block; width: 100%; height: 50px; margin: 0 0 10px;\n\t\t\tborder: 0; border-radius: 0; background: #dedede; color: #00051d;\n\t\t\tfont-size: 16px; padding: 0 18px; font-family: inherit;\n\t\t}\n\t\t.lr-cveqc-form input::placeholder { color: #6d7580; }\n\t\t.lr-cveqc-form input.lr-invalid { border-bottom: 2px solid #f6105f; }\n\t\t.lr-cveqc-hint { font-size: 12.5px; line-height: 1.5; color: #58616f; margin: 2px 0 16px; }\n\t\t.lr-cveqc-hp { position: absolute !important; left: -9999px !important; height: 0; overflow: hidden; }\n\t\t.lr-cveqc-check { display: flex; gap: 12px; align-items: flex-start; margin: 0 0 12px; font-size: 12.5px; line-height: 1.5; color: #00051d; }\n\t\t.lr-cveqc-check span { color: #00051d; }\n\t\t.lr-cveqc-check input { margin-top: 2px; flex: none; width: 18px; height: 18px; accent-color: #26d9c3; }\n\t\t.lr-cveqc-check a { color: inherit; text-decoration: underline; }\n\t\t.lr-cveqc .g-recaptcha { margin: 8px 0 16px; }\n\t\t.lr-cveqc-message { font-size: 14px; padding: 12px 14px; border-radius: 6px; margin: 0 0 12px; }\n\t\t.lr-cveqc-message.lr-success { background: #e2f7ef; color: #0c6b4d; }\n\t\t.lr-cveqc-message.lr-error { background: #fdeaee; color: #9b0e3f; }\n\t\t.lr-cveqc .lr-button-link, .lr-cveqc button[type=submit] {\n\t\t\tdisplay: flex; align-items: center; justify-content: center;\n\t\t\twidth: 100%; height: 50px; padding: 0 20px; box-sizing: border-box;\n\t\t\tborder: 0; cursor: pointer;\n\t\t\tbackground: #26d9c3; color: #00051d; font-weight: 700; font-size: 14px;\n\t\t\tfont-family: inherit; text-align: center; line-height: 1.2; text-decoration: none;\n\t\t\ttransition: background .15s ease;\n\t\t}\n\t\t.lr-cveqc button[type=submit]:hover { background: #0fb5a2; }\n\t\t.lr-cveqc button[disabled] { opacity: .6; cursor: default; }\n\n\t\t@media (max-width: 820px) {\n\t\t\t.lr-cveqc { padding: 40px 22px; }\n\t\t\t.lr-cveqc-inner { flex-direction: column; gap: 34px; }\n\t\t\t.lr-cveqc-story, .lr-cveqc-form-col { flex-basis: auto; max-width: 520px; width: 100%; }\n\t\t}\n\t<\/style>\n\t<script>\n\t(function () {\n\t\t\/\/ Token-Callbacks f\u00fcrs globale reCAPTCHA (identisch zum Theme, defensiv)\n\t\tif (!window.verifyRecaptchaCallback) {\n\t\t\twindow.verifyRecaptchaCallback = function (response) {\n\t\t\t\tdocument.querySelectorAll('input[data-recaptcha]').forEach(function (el) { el.value = response })\n\t\t\t}\n\t\t}\n\t\tif (!window.expiredRecaptchaCallback) {\n\t\t\twindow.expiredRecaptchaCallback = function () {\n\t\t\t\tdocument.querySelectorAll('input[data-recaptcha]').forEach(function (el) { el.value = '' })\n\t\t\t}\n\t\t}\n\n\t\tfunction showMessage(form, text, isSuccess) {\n\t\t\tvar box = form.querySelector('.lr-cveqc-message')\n\t\t\tbox.textContent = text\n\t\t\tbox.classList.remove('lr-success', 'lr-error')\n\t\t\tbox.classList.add(isSuccess ? 'lr-success' : 'lr-error')\n\t\t\tbox.hidden = false\n\t\t}\n\n\t\tfunction init() {\n\t\t\tdocument.querySelectorAll('.lr-cveqc-form').forEach(function (form) {\n\t\t\t\tform.addEventListener('submit', function (e) {\n\t\t\t\t\te.preventDefault()\n\n\t\t\t\t\tvar cve = form.querySelector('input[name=cveId]')\n\t\t\t\t\tvar email = form.querySelector('input[name=email]')\n\t\t\t\t\tvar consent = form.querySelector('input[name=consentProcessingAccepted]')\n\t\t\t\t\tvar cvePattern = \/^CVE-\\d{4}-\\d{4,7}$\/i\n\n\t\t\t\t\tcve.classList.toggle('lr-invalid', !cvePattern.test(cve.value.trim()))\n\t\t\t\t\temail.classList.toggle('lr-invalid', !email.checkValidity())\n\n\t\t\t\t\tif (!cvePattern.test(cve.value.trim())) {\n\t\t\t\t\t\tshowMessage(form, form.querySelector('input[name=invalidCveMessage]').value, false)\n\t\t\t\t\t\treturn\n\t\t\t\t\t}\n\t\t\t\t\tif (!email.checkValidity()) {\n\t\t\t\t\t\temail.reportValidity()\n\t\t\t\t\t\treturn\n\t\t\t\t\t}\n\t\t\t\t\tif (!consent.checked) {\n\t\t\t\t\t\tshowMessage(form, form.querySelector('input[name=consentRequiredMessage]').value, false)\n\t\t\t\t\t\treturn\n\t\t\t\t\t}\n\n\t\t\t\t\tvar button = form.querySelector('button[type=submit]')\n\t\t\t\t\tbutton.disabled = true\n\n\t\t\t\t\tvar data = new FormData(form)\n\t\t\t\t\tdata.append('action', 'lr_cve_quick_check')\n\n\t\t\t\t\tfetch(form.getAttribute('data-ajax-url'), { method: 'POST', body: data })\n\t\t\t\t\t\t.then(function (res) { return res.json() })\n\t\t\t\t\t\t.then(function (json) {\n\t\t\t\t\t\t\tif (json && json.success) {\n\t\t\t\t\t\t\t\tshowMessage(form, form.querySelector('input[name=successMessage]').value, true)\n\t\t\t\t\t\t\t\tform.querySelectorAll('input, button').forEach(function (el) { el.disabled = true })\n\t\t\t\t\t\t\t} else {\n\t\t\t\t\t\t\t\t\/\/ Interne Codes nie roh anzeigen, nur bekannte Codes auf\n\t\t\t\t\t\t\t\t\/\/ konfigurierte Texte mappen, sonst generische Fehlermeldung\n\t\t\t\t\t\t\t\tvar code = json && json.data && (json.data.code || json.data.message)\n\t\t\t\t\t\t\t\tvar msg = form.querySelector('input[name=errorMessage]').value\n\t\t\t\t\t\t\t\tif (code === 'invalid_cve' || code === 'invalid') {\n\t\t\t\t\t\t\t\t\tmsg = form.querySelector('input[name=invalidCveMessage]').value\n\t\t\t\t\t\t\t\t} else if (code === 'captcha') {\n\t\t\t\t\t\t\t\t\tmsg = form.querySelector('input[name=captchaMessage]').value\n\t\t\t\t\t\t\t\t}\n\t\t\t\t\t\t\t\tshowMessage(form, msg, false)\n\t\t\t\t\t\t\t\tbutton.disabled = false\n\t\t\t\t\t\t\t\tif (window.grecaptcha && form.querySelector('.g-recaptcha')) {\n\t\t\t\t\t\t\t\t\ttry { window.grecaptcha.reset() } catch (err) { \/* noop *\/ }\n\t\t\t\t\t\t\t\t}\n\t\t\t\t\t\t\t}\n\t\t\t\t\t\t})\n\t\t\t\t\t\t.catch(function () {\n\t\t\t\t\t\t\tshowMessage(form, form.querySelector('input[name=errorMessage]').value, false)\n\t\t\t\t\t\t\tbutton.disabled = false\n\t\t\t\t\t\t})\n\t\t\t\t})\n\t\t\t})\n\t\t}\n\n\t\tif (document.readyState === 'loading') {\n\t\t\tdocument.addEventListener('DOMContentLoaded', init)\n\t\t} else {\n\t\t\tinit()\n\t\t}\n\t})()\n\t<\/script>\n\t\n\n\n\n<hr class=\"wp-block-separator has-css-opacity is-style-wide\"\/>\n\n\n\n<div class=\"wp-block-lr-contact-module\"><div class=\"content\"><h2>Mehr erfahren, Demo buchen oder einfach mal kurz austauschen? Wir freuen uns!<\/h2><div class=\"contact-info-row\"><div class=\"contact-person-info\"><div class=\"avatar\"><img decoding=\"async\" src=\"https:\/\/locaterisk.com\/wp-content\/uploads\/2025\/06\/Lukas_Baumann_LocateRisk-300.png\"><\/div><p><span class=\"text before\">Ihr Ansprechpartner<\/span><span class=\"bold name\"><strong>Lukas<\/strong><\/span> <span class=\"lastname\"><strong>Baumann<strong><\/strong><\/strong><\/span><strong><strong><span class=\"separator\"><\/span><span class=\"role\">CEO<\/span><\/strong><\/strong><\/p><\/div><p class=\"bold phone\"><strong><strong>+49 6151 6290246<\/strong><\/strong><\/p><strong><strong><a class=\"pr-1\" href=\"mailto:%20sales@locaterisk.com\">Jetzt Kontakt aufnehmen<\/a><\/strong><\/strong><\/div><\/div><\/div>\n\n\n\n<p class=\"wp-block-paragraph\"><\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><\/p>\n\n\n\n<div class=\"wp-block-lr-footer-module lr-footer-block\"><div class=\"content\"><div class=\"column0\"><img decoding=\"async\" src=\"https:\/\/locaterisk.com\/wp-content\/plugins\/locate-risk-prod\/lr-blocks\/assets\/img\/lr-logo.svg\"\/><\/div><div class=\"categories\"><div class=\"categories-element\"><a class=\"pr-4\" href=\"https:\/\/locaterisk.com\/de\/\">Home<\/a><\/div><div class=\"categories-element\"><a class=\"pr-4\" href=\"https:\/\/locaterisk.com\/de\/blog\/\">Blog<\/a><\/div><div class=\"categories-element\"><a class=\"pr-4\" href=\"https:\/\/locaterisk.com\/de\/wissen\/\">Wissen<\/a><\/div><div class=\"categories-element\"><a class=\"pr-4\" href=\"https:\/\/locaterisk.com\/de\/about\/\">\u00dcber uns<\/a><\/div><div class=\"categories-element\"><a class=\"pr-4\" href=\"https:\/\/locaterisk.com\/de\/kontakt\/\">Kontakt<\/a><\/div><div class=\"categories-element\"><a class=\"pr-4\" href=\"https:\/\/locaterisk.com\/de\/impressum\/\">Impressum<\/a><\/div><div class=\"categories-break\"><\/div><div class=\"categories-element\"><a class=\"pr-4\" href=\"https:\/\/locaterisk.com\/de\/datenschutz\/\">Datenschutz<\/a><\/div><div class=\"categories-element\"><a class=\"pr-4\" href=\"https:\/\/locaterisk.com\/files\/agb.pdf\">AGB<\/a><\/div><div class=\"categories-element\"><a class=\"pr-4\" href=\"https:\/\/locaterisk.com\/de\/jobs\/\">Jobs<\/a><\/div><div class=\"categories-element\"><a class=\"pr-4\" href=\"https:\/\/app.secfix.com\/trust\/locaterisk\/d1e7d433b33643aea1880bfbfeab9f60\">Trust Center<\/a><\/div><\/div><div class=\"social\"><div class=\"social-element\"><a target=\"_blank\" href=\"https:\/\/www.linkedin.com\/company\/locaterisk\/\"><img decoding=\"async\" src=\"https:\/\/locaterisk.com\/wp-content\/uploads\/2020\/10\/gruppe-230@3x.png\"\/><\/a><\/div><div class=\"social-element\"><a target=\"_blank\" href=\"https:\/\/www.instagram.com\/locaterisk\/\"><img decoding=\"async\" src=\"https:\/\/locaterisk.com\/wp-content\/uploads\/2020\/11\/Instagram.png\"\/><\/a><\/div><div class=\"social-element\"><a target=\"_blank\" href=\"https:\/\/twitter.com\/locaterisk\"><img decoding=\"async\" src=\"https:\/\/locaterisk.com\/wp-content\/uploads\/2020\/11\/twitter.png\"\/><\/a><\/div><\/div><div class=\"description\"><h6>\u00a9 LocateRisk 2026<\/h6><\/div><\/div><\/div>\n","protected":false},"excerpt":{"rendered":"<p>Sieben kritische L\u00fccken in IBM DataPower Gateway, darunter Codeausf\u00fchrung und LDAP-Login mit leerem Passwort. Fixes: 10.5.0.23, 10.6.0.11, 11.0.0.3.<\/p>\n","protected":false},"author":13,"featured_media":9138,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[632],"tags":[951,947,948,949,111,950,87],"lr_blog_topic":[837],"class_list":["post-99191","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-cybersecurity-news","tag-api-gateway","tag-cve-2026-16340","tag-cwe-787","tag-ibm-datapower-gateway","tag-remote-code-execution","tag-rfc2047","tag-schwachstellenmanagement","lr_blog_topic-schwachstellen-advisories"],"yoast_head":"<title>IBM DataPower Gateway: kritische L\u00fccken \u2013 Update empfohlen<\/title>\n<meta name=\"description\" content=\"Sieben kritische L\u00fccken in IBM DataPower Gateway, darunter Codeausf\u00fchrung und LDAP-Login mit leerem Passwort. Fixes: 10.5.0.23, 10.6.0.11, 11.0.0.3.\" \/>\n<meta name=\"robots\" content=\"index, follow, max-snippet:-1, max-image-preview:large, max-video-preview:-1\" \/>\n<link rel=\"canonical\" href=\"https:\/\/locaterisk.com\/de\/ibm-datapower-gateway-rce-cve-2026-16340\/\" \/>\n<meta property=\"og:locale\" content=\"de_DE\" \/>\n<meta property=\"og:type\" content=\"article\" \/>\n<meta property=\"og:title\" content=\"IBM DataPower Gateway: kritische L\u00fccken \u2013 Update empfohlen\" \/>\n<meta property=\"og:description\" content=\"Sieben kritische L\u00fccken in IBM DataPower Gateway, darunter Codeausf\u00fchrung und LDAP-Login mit leerem Passwort. Fixes: 10.5.0.23, 10.6.0.11, 11.0.0.3.\" \/>\n<meta property=\"og:url\" content=\"https:\/\/locaterisk.com\/de\/ibm-datapower-gateway-rce-cve-2026-16340\/\" \/>\n<meta property=\"og:site_name\" content=\"LocateRisk\" \/>\n<meta property=\"article:published_time\" content=\"2026-10-08T14:27:57+00:00\" \/>\n<meta property=\"article:modified_time\" content=\"2026-10-09T07:28:07+00:00\" \/>\n<meta property=\"og:image\" content=\"https:\/\/locaterisk.com\/wp-content\/uploads\/2026\/07\/vulnerability-disclosure.png\" \/>\n\t<meta property=\"og:image:width\" content=\"400\" \/>\n\t<meta property=\"og:image:height\" content=\"400\" \/>\n\t<meta property=\"og:image:type\" content=\"image\/png\" \/>\n<meta name=\"author\" content=\"Kristina Hoinkis\" \/>\n<meta name=\"twitter:card\" content=\"summary_large_image\" \/>\n<meta name=\"twitter:label1\" content=\"Verfasst von\" \/>\n\t<meta name=\"twitter:data1\" content=\"Kristina Hoinkis\" \/>\n\t<meta name=\"twitter:label2\" content=\"Gesch\u00e4tzte Lesezeit\" \/>\n\t<meta name=\"twitter:data2\" content=\"8\u00a0Minuten\" \/>\n<script type=\"application\/ld+json\" class=\"yoast-schema-graph\">{\"@context\":\"https:\\\/\\\/schema.org\",\"@graph\":[{\"@type\":\"Article\",\"@id\":\"https:\\\/\\\/locaterisk.com\\\/de\\\/ibm-datapower-gateway-rce-cve-2026-16340\\\/#article\",\"isPartOf\":{\"@id\":\"https:\\\/\\\/locaterisk.com\\\/de\\\/ibm-datapower-gateway-rce-cve-2026-16340\\\/\"},\"author\":{\"name\":\"Kristina Hoinkis\",\"@id\":\"https:\\\/\\\/locaterisk.com\\\/de\\\/#\\\/schema\\\/person\\\/68f3857c15afa8ff59c545848dddcc32\"},\"headline\":\"IBM DataPower Gateway: mehrere kritische Sicherheitsl\u00fccken (CVE-2026-16340, CVE-2026-14990, u. a.)\",\"datePublished\":\"2026-10-08T14:27:57+00:00\",\"dateModified\":\"2026-10-09T07:28:07+00:00\",\"mainEntityOfPage\":{\"@id\":\"https:\\\/\\\/locaterisk.com\\\/de\\\/ibm-datapower-gateway-rce-cve-2026-16340\\\/\"},\"wordCount\":1562,\"publisher\":{\"@id\":\"https:\\\/\\\/locaterisk.com\\\/de\\\/#organization\"},\"image\":{\"@id\":\"https:\\\/\\\/locaterisk.com\\\/de\\\/ibm-datapower-gateway-rce-cve-2026-16340\\\/#primaryimage\"},\"thumbnailUrl\":\"https:\\\/\\\/locaterisk.com\\\/wp-content\\\/uploads\\\/2026\\\/07\\\/vulnerability-disclosure.png\",\"keywords\":[\"API-Gateway\",\"CVE-2026-16340\",\"CWE-787\",\"IBM DataPower Gateway\",\"Remote Code Execution\",\"RFC2047\",\"Schwachstellenmanagement\"],\"articleSection\":[\"Cybersecurity News\"],\"inLanguage\":\"de\"},{\"@type\":\"WebPage\",\"@id\":\"https:\\\/\\\/locaterisk.com\\\/de\\\/ibm-datapower-gateway-rce-cve-2026-16340\\\/\",\"url\":\"https:\\\/\\\/locaterisk.com\\\/de\\\/ibm-datapower-gateway-rce-cve-2026-16340\\\/\",\"name\":\"IBM DataPower Gateway: kritische L\u00fccken \u2013 Update empfohlen\",\"isPartOf\":{\"@id\":\"https:\\\/\\\/locaterisk.com\\\/de\\\/#website\"},\"primaryImageOfPage\":{\"@id\":\"https:\\\/\\\/locaterisk.com\\\/de\\\/ibm-datapower-gateway-rce-cve-2026-16340\\\/#primaryimage\"},\"image\":{\"@id\":\"https:\\\/\\\/locaterisk.com\\\/de\\\/ibm-datapower-gateway-rce-cve-2026-16340\\\/#primaryimage\"},\"thumbnailUrl\":\"https:\\\/\\\/locaterisk.com\\\/wp-content\\\/uploads\\\/2026\\\/07\\\/vulnerability-disclosure.png\",\"datePublished\":\"2026-10-08T14:27:57+00:00\",\"dateModified\":\"2026-10-09T07:28:07+00:00\",\"description\":\"Sieben kritische L\u00fccken in IBM DataPower Gateway, darunter Codeausf\u00fchrung und LDAP-Login mit leerem Passwort. Fixes: 10.5.0.23, 10.6.0.11, 11.0.0.3.\",\"breadcrumb\":{\"@id\":\"https:\\\/\\\/locaterisk.com\\\/de\\\/ibm-datapower-gateway-rce-cve-2026-16340\\\/#breadcrumb\"},\"inLanguage\":\"de\",\"potentialAction\":[{\"@type\":\"ReadAction\",\"target\":[\"https:\\\/\\\/locaterisk.com\\\/de\\\/ibm-datapower-gateway-rce-cve-2026-16340\\\/\"]}]},{\"@type\":\"ImageObject\",\"inLanguage\":\"de\",\"@id\":\"https:\\\/\\\/locaterisk.com\\\/de\\\/ibm-datapower-gateway-rce-cve-2026-16340\\\/#primaryimage\",\"url\":\"https:\\\/\\\/locaterisk.com\\\/wp-content\\\/uploads\\\/2026\\\/07\\\/vulnerability-disclosure.png\",\"contentUrl\":\"https:\\\/\\\/locaterisk.com\\\/wp-content\\\/uploads\\\/2026\\\/07\\\/vulnerability-disclosure.png\",\"width\":400,\"height\":400,\"caption\":\"vulnerability-disclosure\"},{\"@type\":\"BreadcrumbList\",\"@id\":\"https:\\\/\\\/locaterisk.com\\\/de\\\/ibm-datapower-gateway-rce-cve-2026-16340\\\/#breadcrumb\",\"itemListElement\":[{\"@type\":\"ListItem\",\"position\":1,\"name\":\"Home\",\"item\":\"https:\\\/\\\/locaterisk.com\\\/\"},{\"@type\":\"ListItem\",\"position\":2,\"name\":\"IBM DataPower Gateway: mehrere kritische Sicherheitsl\u00fccken (CVE-2026-16340, CVE-2026-14990, u. a.)\"}]},{\"@type\":\"WebSite\",\"@id\":\"https:\\\/\\\/locaterisk.com\\\/de\\\/#website\",\"url\":\"https:\\\/\\\/locaterisk.com\\\/de\\\/\",\"name\":\"LocateRisk\",\"description\":\"IT-Sicherheit messen und vergleichen\",\"publisher\":{\"@id\":\"https:\\\/\\\/locaterisk.com\\\/de\\\/#organization\"},\"potentialAction\":[{\"@type\":\"SearchAction\",\"target\":{\"@type\":\"EntryPoint\",\"urlTemplate\":\"https:\\\/\\\/locaterisk.com\\\/de\\\/?s={search_term_string}\"},\"query-input\":{\"@type\":\"PropertyValueSpecification\",\"valueRequired\":true,\"valueName\":\"search_term_string\"}}],\"inLanguage\":\"de\"},{\"@type\":\"Organization\",\"@id\":\"https:\\\/\\\/locaterisk.com\\\/de\\\/#organization\",\"name\":\"LocateRisk\",\"url\":\"https:\\\/\\\/locaterisk.com\\\/de\\\/\",\"logo\":{\"@type\":\"ImageObject\",\"inLanguage\":\"de\",\"@id\":\"https:\\\/\\\/locaterisk.com\\\/de\\\/#\\\/schema\\\/logo\\\/image\\\/\",\"url\":\"https:\\\/\\\/locaterisk.com\\\/wp-content\\\/uploads\\\/2020\\\/11\\\/Kettenglieder_V0216-9.jpg\",\"contentUrl\":\"https:\\\/\\\/locaterisk.com\\\/wp-content\\\/uploads\\\/2020\\\/11\\\/Kettenglieder_V0216-9.jpg\",\"width\":1920,\"height\":1080,\"caption\":\"LocateRisk\"},\"image\":{\"@id\":\"https:\\\/\\\/locaterisk.com\\\/de\\\/#\\\/schema\\\/logo\\\/image\\\/\"},\"sameAs\":[\"https:\\\/\\\/www.linkedin.com\\\/company\\\/locaterisk\\\/\"]},{\"@type\":\"Person\",\"@id\":\"https:\\\/\\\/locaterisk.com\\\/de\\\/#\\\/schema\\\/person\\\/68f3857c15afa8ff59c545848dddcc32\",\"name\":\"Kristina Hoinkis\",\"image\":{\"@type\":\"ImageObject\",\"inLanguage\":\"de\",\"@id\":\"https:\\\/\\\/secure.gravatar.com\\\/avatar\\\/7756f96249844e60ceb218f17e06217dcbed4993bcd2124e3f59bb8675324f0d?s=96&d=mm&r=g\",\"url\":\"https:\\\/\\\/secure.gravatar.com\\\/avatar\\\/7756f96249844e60ceb218f17e06217dcbed4993bcd2124e3f59bb8675324f0d?s=96&d=mm&r=g\",\"contentUrl\":\"https:\\\/\\\/secure.gravatar.com\\\/avatar\\\/7756f96249844e60ceb218f17e06217dcbed4993bcd2124e3f59bb8675324f0d?s=96&d=mm&r=g\",\"caption\":\"Kristina Hoinkis\"}}]}<\/script>","yoast_head_json":{"title":"IBM DataPower Gateway: kritische L\u00fccken \u2013 Update empfohlen","description":"Sieben kritische L\u00fccken in IBM DataPower Gateway, darunter Codeausf\u00fchrung und LDAP-Login mit leerem Passwort. Fixes: 10.5.0.23, 10.6.0.11, 11.0.0.3.","robots":{"index":"index","follow":"follow","max-snippet":"max-snippet:-1","max-image-preview":"max-image-preview:large","max-video-preview":"max-video-preview:-1"},"canonical":"https:\/\/locaterisk.com\/de\/ibm-datapower-gateway-rce-cve-2026-16340\/","og_locale":"de_DE","og_type":"article","og_title":"IBM DataPower Gateway: kritische L\u00fccken \u2013 Update empfohlen","og_description":"Sieben kritische L\u00fccken in IBM DataPower Gateway, darunter Codeausf\u00fchrung und LDAP-Login mit leerem Passwort. Fixes: 10.5.0.23, 10.6.0.11, 11.0.0.3.","og_url":"https:\/\/locaterisk.com\/de\/ibm-datapower-gateway-rce-cve-2026-16340\/","og_site_name":"LocateRisk","article_published_time":"2026-10-08T14:27:57+00:00","article_modified_time":"2026-10-09T07:28:07+00:00","og_image":[{"width":400,"height":400,"url":"https:\/\/locaterisk.com\/wp-content\/uploads\/2026\/07\/vulnerability-disclosure.png","type":"image\/png"}],"author":"Kristina Hoinkis","twitter_card":"summary_large_image","twitter_misc":{"Verfasst von":"Kristina Hoinkis","Gesch\u00e4tzte Lesezeit":"8\u00a0Minuten"},"schema":{"@context":"https:\/\/schema.org","@graph":[{"@type":"Article","@id":"https:\/\/locaterisk.com\/de\/ibm-datapower-gateway-rce-cve-2026-16340\/#article","isPartOf":{"@id":"https:\/\/locaterisk.com\/de\/ibm-datapower-gateway-rce-cve-2026-16340\/"},"author":{"name":"Kristina Hoinkis","@id":"https:\/\/locaterisk.com\/de\/#\/schema\/person\/68f3857c15afa8ff59c545848dddcc32"},"headline":"IBM DataPower Gateway: mehrere kritische Sicherheitsl\u00fccken (CVE-2026-16340, CVE-2026-14990, u. a.)","datePublished":"2026-10-08T14:27:57+00:00","dateModified":"2026-10-09T07:28:07+00:00","mainEntityOfPage":{"@id":"https:\/\/locaterisk.com\/de\/ibm-datapower-gateway-rce-cve-2026-16340\/"},"wordCount":1562,"publisher":{"@id":"https:\/\/locaterisk.com\/de\/#organization"},"image":{"@id":"https:\/\/locaterisk.com\/de\/ibm-datapower-gateway-rce-cve-2026-16340\/#primaryimage"},"thumbnailUrl":"https:\/\/locaterisk.com\/wp-content\/uploads\/2026\/07\/vulnerability-disclosure.png","keywords":["API-Gateway","CVE-2026-16340","CWE-787","IBM DataPower Gateway","Remote Code Execution","RFC2047","Schwachstellenmanagement"],"articleSection":["Cybersecurity News"],"inLanguage":"de"},{"@type":"WebPage","@id":"https:\/\/locaterisk.com\/de\/ibm-datapower-gateway-rce-cve-2026-16340\/","url":"https:\/\/locaterisk.com\/de\/ibm-datapower-gateway-rce-cve-2026-16340\/","name":"IBM DataPower Gateway: kritische L\u00fccken \u2013 Update empfohlen","isPartOf":{"@id":"https:\/\/locaterisk.com\/de\/#website"},"primaryImageOfPage":{"@id":"https:\/\/locaterisk.com\/de\/ibm-datapower-gateway-rce-cve-2026-16340\/#primaryimage"},"image":{"@id":"https:\/\/locaterisk.com\/de\/ibm-datapower-gateway-rce-cve-2026-16340\/#primaryimage"},"thumbnailUrl":"https:\/\/locaterisk.com\/wp-content\/uploads\/2026\/07\/vulnerability-disclosure.png","datePublished":"2026-10-08T14:27:57+00:00","dateModified":"2026-10-09T07:28:07+00:00","description":"Sieben kritische L\u00fccken in IBM DataPower Gateway, darunter Codeausf\u00fchrung und LDAP-Login mit leerem Passwort. Fixes: 10.5.0.23, 10.6.0.11, 11.0.0.3.","breadcrumb":{"@id":"https:\/\/locaterisk.com\/de\/ibm-datapower-gateway-rce-cve-2026-16340\/#breadcrumb"},"inLanguage":"de","potentialAction":[{"@type":"ReadAction","target":["https:\/\/locaterisk.com\/de\/ibm-datapower-gateway-rce-cve-2026-16340\/"]}]},{"@type":"ImageObject","inLanguage":"de","@id":"https:\/\/locaterisk.com\/de\/ibm-datapower-gateway-rce-cve-2026-16340\/#primaryimage","url":"https:\/\/locaterisk.com\/wp-content\/uploads\/2026\/07\/vulnerability-disclosure.png","contentUrl":"https:\/\/locaterisk.com\/wp-content\/uploads\/2026\/07\/vulnerability-disclosure.png","width":400,"height":400,"caption":"vulnerability-disclosure"},{"@type":"BreadcrumbList","@id":"https:\/\/locaterisk.com\/de\/ibm-datapower-gateway-rce-cve-2026-16340\/#breadcrumb","itemListElement":[{"@type":"ListItem","position":1,"name":"Home","item":"https:\/\/locaterisk.com\/"},{"@type":"ListItem","position":2,"name":"IBM DataPower Gateway: mehrere kritische Sicherheitsl\u00fccken (CVE-2026-16340, CVE-2026-14990, u. a.)"}]},{"@type":"WebSite","@id":"https:\/\/locaterisk.com\/de\/#website","url":"https:\/\/locaterisk.com\/de\/","name":"LocateRisk","description":"IT-Sicherheit messen und vergleichen","publisher":{"@id":"https:\/\/locaterisk.com\/de\/#organization"},"potentialAction":[{"@type":"SearchAction","target":{"@type":"EntryPoint","urlTemplate":"https:\/\/locaterisk.com\/de\/?s={search_term_string}"},"query-input":{"@type":"PropertyValueSpecification","valueRequired":true,"valueName":"search_term_string"}}],"inLanguage":"de"},{"@type":"Organization","@id":"https:\/\/locaterisk.com\/de\/#organization","name":"LocateRisk","url":"https:\/\/locaterisk.com\/de\/","logo":{"@type":"ImageObject","inLanguage":"de","@id":"https:\/\/locaterisk.com\/de\/#\/schema\/logo\/image\/","url":"https:\/\/locaterisk.com\/wp-content\/uploads\/2020\/11\/Kettenglieder_V0216-9.jpg","contentUrl":"https:\/\/locaterisk.com\/wp-content\/uploads\/2020\/11\/Kettenglieder_V0216-9.jpg","width":1920,"height":1080,"caption":"LocateRisk"},"image":{"@id":"https:\/\/locaterisk.com\/de\/#\/schema\/logo\/image\/"},"sameAs":["https:\/\/www.linkedin.com\/company\/locaterisk\/"]},{"@type":"Person","@id":"https:\/\/locaterisk.com\/de\/#\/schema\/person\/68f3857c15afa8ff59c545848dddcc32","name":"Kristina Hoinkis","image":{"@type":"ImageObject","inLanguage":"de","@id":"https:\/\/secure.gravatar.com\/avatar\/7756f96249844e60ceb218f17e06217dcbed4993bcd2124e3f59bb8675324f0d?s=96&d=mm&r=g","url":"https:\/\/secure.gravatar.com\/avatar\/7756f96249844e60ceb218f17e06217dcbed4993bcd2124e3f59bb8675324f0d?s=96&d=mm&r=g","contentUrl":"https:\/\/secure.gravatar.com\/avatar\/7756f96249844e60ceb218f17e06217dcbed4993bcd2124e3f59bb8675324f0d?s=96&d=mm&r=g","caption":"Kristina Hoinkis"}}]}},"_links":{"self":[{"href":"https:\/\/locaterisk.com\/de\/wp-json\/wp\/v2\/posts\/99191","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/locaterisk.com\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/locaterisk.com\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/locaterisk.com\/de\/wp-json\/wp\/v2\/users\/13"}],"replies":[{"embeddable":true,"href":"https:\/\/locaterisk.com\/de\/wp-json\/wp\/v2\/comments?post=99191"}],"version-history":[{"count":4,"href":"https:\/\/locaterisk.com\/de\/wp-json\/wp\/v2\/posts\/99191\/revisions"}],"predecessor-version":[{"id":99199,"href":"https:\/\/locaterisk.com\/de\/wp-json\/wp\/v2\/posts\/99191\/revisions\/99199"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/locaterisk.com\/de\/wp-json\/wp\/v2\/media\/9138"}],"wp:attachment":[{"href":"https:\/\/locaterisk.com\/de\/wp-json\/wp\/v2\/media?parent=99191"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/locaterisk.com\/de\/wp-json\/wp\/v2\/categories?post=99191"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/locaterisk.com\/de\/wp-json\/wp\/v2\/tags?post=99191"},{"taxonomy":"lr_blog_topic","embeddable":true,"href":"https:\/\/locaterisk.com\/de\/wp-json\/wp\/v2\/lr_blog_topic?post=99191"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}