IBM DataPower Gateway : plusieurs vulnérabilités de sécurité critiques (CVE-2026-16340, CVE-2026-14990, etc.)
Ce texte a été généré par l'intelligence artificielle (IA).Mise à jour 08.10.2026: De plus, CVE-2026-14990 (CVSS 9.3) ainsi que cinq autres vulnérabilités critiques avec CVSS 9.8 (CVE-2026-15762, CVE-2026-14991, CVE-2026-14992, CVE-2026-14502, CVE-2026-14269) ont été signalées. Détails ci-dessous.
IBM a publié la vulnérabilité pour IBM DataPower Gateway CVE-2026-16340 , documentée dans l'avis de sécurité IBM. Elle a un score CVSS de 9.8. Les passerelles concernées peuvent être amenées à exécuter du code arbitraire via le réseau et sans authentification préalable.
Selon IBM, la cause réside dans un Out-of-Bounds Write de la catégorie CWE-787 dans le parseur pour les entrées Encoded-Word RFC2047. Des entrées spécialement préparées peuvent déclencher l'erreur.
Le vecteur CVSS pour CVE-2026-16340 classe le défaut comme exploitable à distance. Il présente une faible complexité d'attaque, aucune autorisation requise et aucune interaction utilisateur. La confidentialité, l'intégrité et la disponibilité sont chacune évaluées avec un impact élevé.
Versions corrigées et calendrier
Des versions corrigées sont disponibles pour les flux de publication concernés :
Flux de publication concerné
Version corrigée
IBM DataPower Gateway 10.5.0
10.5.0.23
IBM DataPower Gateway 10.6.0
10.6.0.11
IBM DataPower Gateway 10.6 CD
11.0.0.3 (pas de correctif pour le CD 10.6)
IBM DataPower Gateway 11.0.0
11.0.0.3
IBM a publié les correctifs pour CVE-2026-16340 et les cinq vulnérabilités critiques supplémentaires avec CVSS 9.8 le 28 septembre 2026 dans le Bulletin de sécurité 7289775. La publication de la CVE a eu lieu le 8 octobre 2026. Aucune exploitation active de ces vulnérabilités n'est documentée.
Pour la version 10.6 CD, IBM indique dans le Bulletin 7289775 aucune que la version correcte 10.6-CD; au lieu de cela, 11.0.0.3 est indiqué comme version de correctif. Les organisations utilisant 10.6 CD devraient vérifier si une mise à niveau vers 11.0.0.3 est possible ou si des mesures temporaires sont nécessaires.
CVE-2026-14990 : Cross-Site Scripting dans le flux de publication 10.6.0
IBM DataPower Gateway 10.6.0.0 à 10.6.0.10 est également concerné par CVE-2026-14990 une vulnérabilité de Cross-Site Scripting ayant un score CVSS de 9.3. Le vecteur CVSS est CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:N. La vulnérabilité nécessite une interaction utilisateur, mais permet à un attaquant distant non authentifié de compromettre la confidentialité et l'intégrité avec un impact élevé. Le scope est évalué comme „ Changed “.
Selon le Bulletin IBM 7289790 (publié le 28 septembre 2026), CVE-2026-14990 est 10.6.0.11 corrigé.
CVE-2026-15762, CVE-2026-14991, CVE-2026-14992, CVE-2026-14502, CVE-2026-14269: cinq autres vulnérabilités critiques
IBM a publié dans le même Bulletin de sécurité 7289775 cinq autres vulnérabilités critiques, chacune CVSS 9,8 publiées. Les cinq affectent les mêmes versions que CVE-2026-16340 et sont corrigées dans les mêmes versions (10.5.0.23, 10.6.0.11, 11.0.0.3). Le vecteur CVSS est identique pour les cinq: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H — basé sur le réseau, faible complexité, aucune authentification, aucune interaction utilisateur, impact élevé sur la confidentialité, l'intégrité et la disponibilité.
CVE-2026-15762: écrit en dehors des limites
CVE-2026-15762 (CWE-787) est un écrit en dehors des limites. Un attaquant distant peut exécuter n'importe quel code sur le système concerné. IBM ne fournit pas de détails supplémentaires sur la cause.
CVE-2026-14991: débordement de tampon avec une contradiction dans la description
CVE-2026-14991 (CWE-787) est un débordement de tampon dû à des vérifications de limites défectueuses. IBM décrit l'attaquant dans le résumé du bulletin comme un utilisateur local, mais évalue toutefois la vulnérabilité avec le vecteur réseau AV:N et CVSS 9.8. Cet écart entre la description et le vecteur CVSS est contenu dans les déclarations d'IBM et est reproduit ici sans modification. Les organisations devraient consulter le bulletin IBM pour clarifier l'exploitabilité réelle.
CVE-2026-14992: débordement de tampon
CVE-2026-14992 (CWE-787) est un Buffer Overflow. IBM ne donne aucun détail supplémentaire sur la cause ou la méthode d'attaque.
CVE-2026-14502 : mots de passe vides lors de l'authentification LDAP
CVE-2026-14502 (CWE-287) concerne l'authentification LDAP. Les mots de passe vides ne sont pas rejetés. Un attaquant distant peut donc obtenir un accès administratif au système.
CVE-2026-14269 : Débordement de tampon basé sur le tas
CVE-2026-14269 (CWE-122 selon NVD) est un Buffer Overflow basé sur le tas. Un attaquant distant non authentifié peut exécuter n'importe quel code.
Aucune des cinq vulnérabilités n'a de cas d'exploitation actif documenté. IBM ne mentionne aucun contournement.
Priorisation des mesures
Les organisations devraient d'abord déterminer si l'un des flux de publication concernés est utilisé. Ensuite, il faut planifier la version corrigée prévue pour le flux de publication concerné et vérifier le statut de mise à jour atteint.
Des versions corrigées sont disponibles pour les Release-Streams 10.5.0, 10.6.0 et 11.0.0 (10.5.0.23, 10.6.0.11, 11.0.0.3). Pour le Release-Stream 10.6 CD, IBM ne mentionne dans le bulletin 7289775 aucune version corrigée 10.6-CD ; à la place, 11.0.0.3 est indiqué comme version de correction. Les organisations utilisant 10.6 CD doivent vérifier s'il est possible de passer à 11.0.0.3 ou si des mesures temporaires sont nécessaires.
Si une mise à jour n'est pas immédiatement possible, une mesure temporaire pourrait être de restreindre l'accès réseau à la passerelle. De plus, il peut être examiné si les entrées basées sur RFC2047 provenant de sources externes peuvent être filtrées ou validées. Pour CVE-2026-14990, les entrées susceptibles de provoquer un Cross-Site-Scripting doivent être validées et filtrées. Pour CVE-2026-14502, l'authentification LDAP doit être vérifiée et il faut s'assurer que les mots de passe vides sont rejetés tant qu'une mise à jour est en attente.
Pour une gestion continue, IBM DataPower Gateway et les alertes de sécurité associées doivent être inclus dans un suivi continu des vulnérabilités et des risques fournisseurs.
IBM DataPower Gateway est utilisé dans de nombreuses industries comme passerelle API et d'intégration centrale — y compris les fournisseurs de services financiers soumis à la réglementation DORA de l'UE, ainsi que les opérateurs d'infrastructures critiques en Allemagne et en Autriche, pour lesquels des obligations de mise en œuvre de la NIS-2 s'appliquent (en Autriche selon le NISG). Les entreprises en Suisse sont soumises à la loi révisée sur la sécurité de l'information (ISG) avec des obligations de signalement auprès du BACS. Si une exploitation réussie entraîne le traitement ou l'exfiltration de données personnelles, l'obligation de notification de la GDPR selon l'art. 33 s'applique également avec un délai de 72 heures auprès de l'autorité de surveillance compétente.
Classer les passerelles DataPower accessibles de l'extérieur
IBM DataPower Gateway peut être exécuté en tant que service accessible publiquement sous un domaine propre. Il est donc d'abord pertinent pour les vulnérabilités en cours de déterminer quels gateways sont visibles publiquement et quel logiciel utilisé est identifiable.
LocateRisk aide dans la gestion de la surface d'attaque externe à rendre visibles les systèmes accessibles de l'extérieur et les logiciels utilisés. Cette visibilité peut soutenir l'examen technique pour déterminer si des instances de passerelles DataPower accessibles au public doivent être intégrées au processus de correctif.
La gestion continue des risques liés aux fournisseurs complète cette perspective technique. Les alertes de sécurité d'IBM peuvent être intégrées à l'évaluation du fabricant, tandis que l'examen de l'infrastructure externe propre se fait séparément.
Suis-je concerné ?
Sont concernés IBM DataPower Gateway 10.5.0, IBM DataPower Gateway 10.6.0, IBM DataPower Gateway 10.6 CD et IBM DataPower Gateway 11.0.0 dans les versions mentionnées ci-dessus ; les versions corrigées sont répertoriées dans le tableau ci-dessus. Quiconque souhaite savoir si IBM DataPower Gateway est visible dans son infrastructure accessible publiquement peut consulter le Vérification rapide CVE à consulter à la fin de cet article : il présente les systèmes exposés et les logiciels identifiables depuis l'extérieur.
Il n'est pas toujours possible de déterminer la version effectivement installée à partir d'éléments externes — il est essentiel de la comparer avec l'avis de sécurité du fabricant.
CVE-2026-16340 est une vulnérabilité de sécurité critique dans IBM DataPower Gateway avec un score CVSS de 9,8. Elle repose sur une écriture hors limites (CWE-787) dans le parseur pour les entrées Encoded-Word RFC2047 et permet à un attaquant distant non authentifié d'exécuter du code arbitraire sur le système affecté.
CVE-2026-14990 est une vulnérabilité critique de Cross-Site Scripting dans IBM DataPower Gateway 10.6.0.0 à 10.6.0.10 avec un score CVSS de 9.3. Elle permet à un attaquant distant et non authentifié de compromettre la confidentialité et l'intégrité, mais nécessite une interaction de l'utilisateur.
Ces cinq vulnérabilités sont également critiques (chacune ayant un CVSS de 9,8) et concernent les mêmes flux de version que CVE-2026-16340. CVE-2026-15762 est un Out-of-Bounds Write. CVE-2026-14991 est un Buffer Overflow (IBM décrit l'attaquant comme local, mais évalue avec un vecteur réseau AV:N). CVE-2026-14992 est un Buffer Overflow sans détails supplémentaires. CVE-2026-14502 concerne l'authentification LDAP (les mots de passe vides ne sont pas rejetés). CVE-2026-14269 est un Buffer Overflow basé sur le tas.
Pour CVE-2026-16340 et les cinq vulnérabilités critiques supplémentaires (CVE-2026-15762, CVE-2026-14991, CVE-2026-14992, CVE-2026-14502, CVE-2026-14269), les flux de version 10.5.0.0 à 10.5.0.22, 10.6.0.0 à 10.6.0.10, 10.6.1 à 10.6.6 (10.6 CD) ainsi que 11.0.0.0 à 11.0.0.2 sont concernés. Pour CVE-2026-14990, les versions 10.6.0.0 à 10.6.0.10 sont concernées. IBM fournit des versions corrigées pour les flux 10.5.0, 10.6.0 et 11.0.0 : 10.5.0.23, 10.6.0.11 et 11.0.0.3. Pour le flux 10.6 CD, IBM ne fournit pas de version corrigée 10.6-CD ; à la place, 11.0.0.3 est indiquée comme version corrective.
La protection principale consiste en la mise à jour rapide vers la version corrigée respective. En complément, on peut vérifier si l'accès réseau à la passerelle peut être restreint et si les entrées basées sur RFC2047 provenant de sources externes peuvent être filtrées tant qu'une mise à jour est encore en attente. Pour CVE-2026-14990, les entrées pouvant mener à un Cross-Site-Scripting doivent être validées et filtrées. Pour CVE-2026-14502, l'authentification LDAP doit être vérifiée et il faut s'assurer que les mots de passe vides sont rejetés.
État : 09.10.2026. Cet article sert à des fins d'information générale et ne constitue pas un conseil juridique, de sécurité ou d'action au cas par cas. La situation de sécurité et la disponibilité des patchs peuvent avoir changé depuis la publication ; l'avis du fabricant lié est toujours prépondérant. Malgré des recherches minutieuses, nous déclinons toute responsabilité quant à l'actualité, l'exactitude et l'exhaustivité.
Vérification rapide CVE
Vérifiez en quelques minutes si votre surface d'attaque visible depuis l'extérieur présente des indices liés à une vulnérabilité CVE actuelle.
Première évaluation en quelques minutes par e-mail.
Pour en savoir plus, contactez gratuitement un consultant LocateRisk.
Vous recevrez cela par e-mail
EntreprisesVotre société GmbH
CVE vérifiésCVE-2026-16340
Évaluation passive
Remarques concernant le CVEtrouvé ou non trouvé
En savoir plus, réserver une démo ou simplement échanger quelques mots ? Nous nous en réjouissons !
Nous utilisons des cookies pour optimiser notre site web et nos services.
Fonctionnel
Always active
le stockage technique ou l'accès est strictement nécessaire dans le but légitime de permettre l'utilisation d'un service spécifique expressément demandé par l'abonné ou l'utilisateur, ou dans le seul but d'effectuer la transmission d'une communication par la voie d'un réseau de communications électroniques
Préférences
le stockage ou l'accès technique est nécessaire aux fins légitimes de la conservation des préférences qui n'ont pas été demandées par l'abonné ou l'utilisateur.
Statistiques
le stockage ou l'accès technique, à des fins exclusivement statistiques.le stockage ou l'accès technique, utilisé uniquement à des fins statistiques anonymes. En l'absence d'une citation, d'un accord volontaire de ton fournisseur d'accès à Internet ou d'enregistrements supplémentaires de tiers, les informations stockées ou consultées à cette seule fin ne peuvent généralement pas être utilisées pour t'identifier.
Marketing
Le stockage technique ou l'accès est nécessaire pour créer des profils d'utilisateurs, pour envoyer des publicités ou pour suivre l'utilisateur sur un site web ou sur plusieurs sites web à des fins de marketing similaires.
Français 
Deutsch 
English