IBMs Payment Agent akzeptierte unauthentifizierte Runbook-Schreibvorgänge — CVE-2026-18875

IBM hat eine Schwachstelle im KI-Agenten-Server seiner Zahlungsplattform IBM Financial Transaction Manager offengelegt: Ein Aufrufer ohne Anmeldedaten konnte ein Runbook seiner Wahl in die Vektordatenbank schreiben, aus der der Agent abruft, und die Tool-Aufrufe des Agenten über das Model Context Protocol konnten dann durch das Gelesene gesteuert werden. Das am 21. September 2026 veröffentlichte Sicherheitsbulletin von IBM besagt, dass die Schwachstelle zu Folgendem führen könnte: „Unbefugte Zahlungsvorgänge oder die Exfiltration von Zahlungsdaten.“ Die CVE, CVE-2026-18875, wurde am 23. September 2026 mit einem CVSS-3.1-Basiswert von 7.3 veröffentlicht, CWE-74 zugeordnet und befindet sich in api.vectordb.runbooks.js:51. Es wurde keine Ausnutzung in freier Wildbahn verzeichnet, und es wurden keine Kunden-, Zahlungs- oder Datenverluste darauf zurückgeführt. Dieser Bericht stammt aus einem einzelnen Eintrag in dem Orca AI Incident Archive, das CVE-2026-18875 als Schwachstelle mittlerer Schwere ohne verzeichneten Schaden führt und es neben die anderen dokumentierten Agentenvorfälle stellt.

Eine CVE in einem Bulletin mit 47 CVEs

Der Sicherheitshinweis von IBM zu dieser Schwachstelle ist keine eigenständige Mitteilung. Er ist ein einzelner Eintrag im Sicherheitsbulletin: IBM Financial Transaction Manager (FTM) ist von mehreren Schwachstellen betroffen, Dokument-UID ibm17288641, dessen Tabellen zu betroffenen Produkten und zur Behebung alle CVEs im Paket abdecken. Die Seite enthält 47 verschiedene CVE-Kennungen, die von IBM mit 3,7 bis 9,9 bewertet wurden, und ihr Änderungsverlauf umfasst genau eine Zeile: "21. September 2026: Erstveröffentlichung." Das Bulletin wurde nach seiner Veröffentlichung nicht überarbeitet, und sein Danksagungsabschnitt ist leer — IBM führt für keine der 47 Erkenntnisse einen Forscher, Melder oder Kunden als Mitwirkenden auf.

Der RAG-Eintrag ist der Ausreißer in dieser Liste. Die meisten der benachbarten CVE-Beschreibungen lesen sich wie gewöhnliche Middleware-Hygiene: fest codierte kryptografische Schlüssel, Path Traversal, Behandlung externer XML-Entitäten, unsichere Deserialisierung, eine fehlende Autorisierungsprüfung, die laut IBM „einem entfernten Angreifer die Ausführung nicht autorisierter Zahlungsaktionen ermöglichen könnte“. CVE-2026-18875 ist die einzige, die einen Defekt darin beschreibt, wie der KI-Agent des Produkts das Material beschafft, auf das sich seine Schlussfolgerungen stützen. Die Beschreibung von IBM, vollständig aus dem Advisory zitiert:

IBM Financial Transaction Manager (FTM) 4.x ist anfällig für RAG-Poisoning über unauthentifiziertes Runbook-Upsert (CWE-74) im FTM-AI-Agent-Server (api.vectordb.runbooks.js:51). Ein unauthentifizierter Angreifer kann bösartigen Runbook-Inhalt in die Vektordatenbank des Agenten einfügen, um KI-gesteuerte MCP-Tool-Aufrufe zu lenken und dadurch potenziell unbefugte Zahlungsaktionen auszulösen oder Zahlungsdaten zu exfiltrieren.

Die Datumsangaben sollten getrennt betrachtet werden, da der Record und das Bulletin nicht dasselbe verwenden. IBMs Bulletin trägt ein ursprüngliches Veröffentlichungsdatum vom 21. September 2026. Die CVE-Kennung wurde am 4. August 2026 reserviert, und der CVE-Record selbst wurde am 23. September 2026 um 15:47 UTC veröffentlicht; NVDs Eintrag folgte am selben Tag um 16:16 UTC. Das Archiv ordnet den Vorfall dem 23. September 2026 zu, dem Tag, an dem die CVE öffentlich wurde, mit Tagesgenauigkeit.

Der Mechanismus: das Schreiben in den Speicher, dem der Agent vertraut

Ein Retrieval-Augmented-Generation-System funktioniert, indem es Passagen aus einem Speicher abruft und sie dem Modell als Kontext voranstellt. Der IBM-Sicherheitshinweis verortet eine Funktion namens „runbook upsert“ in dieser Schicht – eine Operation, die einen Runbook-Eintrag in die Vektordatenbank des Agenten schreibt – und besagt, dass die Operation den Schreibvorgang ohne Authentifizierung annahm. Der im Sicherheitshinweis angegebene Pfad api.vectordb.runbooks.js:51 verweist auf einen JavaScript-Dienst – mehr Architektur legt IBM nicht offen.

Das macht dies zu einer anderen Sache als die indirekte Prompt-Injection, auf der die meisten Agent-Vorfälle beruhen. Im Normalfall muss ein Angreifer Inhalte vor einen Agenten bringen, der im Web surft oder Dateien liest: eine Seite vergiften, die der Agent abrufen wird, ein Dokument, das er öffnen wird, eine E-Mail, die er zusammenfassen wird. Hier muss nichts von außen abgerufen werden. Der Angreifer schreibt das vergiftete Wissen direkt in den Speicher, dem der Agent bereits vertraut, und der Speicher gibt es während eines Zahlungs-Workflows als geprüfte operative Handlungsanweisung zurück. Redbot Security, ein Threat-Intelligence-Unternehmen, das die Schwachstelle als RBT-TI-0099 dokumentiert hat und sie als indirekte Prompt-Injection mit Zero-Click-Datenexfiltration einordnet, fasst den Unterschied in einer Zeile zusammen:"Abgerufene Inhalte können zu einem operativen Einfluss werden." Das Archiv kennzeichnet den Datensatz aus demselben Grund mit IPI und INFRA – der Injektionspfad ist die Instruktionsebene des Agenten, und die Schwachstelle liegt in der Infrastruktur.

Was IBM nicht sagt, ist ebenso wichtig wie das, was es sagt. Die Sicherheitsmeldung nennt nicht die MCP-Tools, die der Agent aufrufen kann, sagt nicht, welche Zahlungsvorgänge sie erreichen, sagt nicht, ob die Upsert-Route in einer Standard-FTM-Bereitstellung offengelegt ist oder nur in bestimmten Konfigurationen, und beschreibt nicht das Authentifizierungsmodell, das sie schützen sollte. Sie sagt „potenziell“ und endet dort.

Einen Wert von 7,3 ablesen

Der CVSS-3.1-Vektor lautet AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L. Aufgeschlüsselt: über das Netzwerk erreichbar, geringe Angriffskomplexität, keine Privilegien erforderlich, keine Benutzerinteraktion – was die Sache ernst macht – und dann geringe Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit, Scope unverändert. IBMs eigene Zahlen setzen die Ausnutzbarkeit auf 3.9 und die Auswirkung auf 3.4. Jede von IBM bewertete Auswirkungsdimension ist Niedrig. Die 7.3 wird fast ausschließlich dadurch getragen, wie leicht die Schwachstelle erreichbar ist, nicht dadurch, wie großen Schaden IBM ihr zuschreibt.

IBM ist die einzige Partei, die eine Bewertung abgegeben hat. NVD kennzeichnet CVE-2026-18875 mit Stand vom 7. Oktober 2026 als „Analyzed“, doch die einzige CVSS-Metrik in seinem Eintrag ist die von IBM, als Secondary gekennzeichnet; NVD lieferte keinen eigenen Primärwert. Die GitHub Advisory Database enthält dieselbe Beschreibung und dieselbe 7.3, veröffentlicht am 23. September 2026 um 18:31 UTC.

Die beste Annäherung an eine Bewertung, die nicht von IBM stammt, liefert der ADP-Vulnrichment-Block von CISA zum CVE-Eintrag, eine am 23. September 2026 um 18:48 UTC verzeichnete SSVC-2.0.3-Entscheidung: Ausnutzung: keine. Automatisierbar: ja. Technische Auswirkung: teilweise. Dieses Urteil sagt zwei Dinge zugleich, und beide gehören in denselben Satz: Der Koordinator von CISA sah zum Zeitpunkt der Veröffentlichung keine Ausnutzung und hielt die Schwachstelle für automatisierbar — die Art von Fall, die sich mit einem Scanner oder einem Skript abarbeiten lässt, statt eines einmaligen manuellen Angriffs.

Das Exploit Prediction Scoring System von FIRST ordnete CVE-2026-18875 im Modelllauf vom 25. Oktober 2026 einen Wert von 0,00369 bzw. rund 0,37 % zu, was dem 30. Perzentil entspricht. EPSS schätzt die Wahrscheinlichkeit einer beobachteten Ausnutzung in den nächsten 30 Tagen; ein Wert im 30. Perzentil ist eine unauffällige Zahl, und er ist eine Prognose und kein Bericht über etwas, das geschehen ist.

Was gilt als gesichert und was nicht

Bestätigt. Die Schwachstelle existiert und ist in Primärquellen dokumentiert, die übereinstimmen: IBMs Bulletin vom 21. September 2026, der am 23. September 2026 veröffentlichte CVE-Datensatz, NVDs analysierter Eintrag und GitHubs Advisory. Der betroffene Versionsbereich, die Fix-Version, der CVSS-Score und -Vektor, die CWE-Zuordnung und der Code-Ort sind in allen identisch. Der Schreibpfad war ohne Anmeldedaten erreichbar – das steht in IBMs eigener Beschreibung, nicht als Rückschluss aus dem Score. CISAs Koordinator verzeichnete keine Ausnutzung. Das Archiv bewertet die Datensatzkonfidenz mit A, nicht bestritten, wobei tatsächlicher Schaden als falsch verzeichnet ist.

• Die Schwachstelle. Ein nicht authentifizierter Runbook-Upsert im FTM AI Agent Server, unter api.vectordb.runbooks.js:51, der es einem Angreifer ermöglichte, Inhalte in die Vektordatenbank einzufügen, aus der der Agent abruft. IBM-Wortlaut, keine Rekonstruktion.

• Die von IBM behauptete Folge. Dass manipulierte Inhalte MCP-Tool-Aufrufe in Richtung unbefugter Zahlungsaktionen oder der Exfiltration von Zahlungsdaten lenken könnten. IBM nennt dies ein mögliches Ergebnis; das Unternehmen behauptet nicht, es in einer Kundenumgebung nachgewiesen zu haben.

• Die Korrektur. FTM 4.0.11.0, referenziert in IBM Support Node 7285661. Das Feld „Problemumgehungen und Risikominderungen“ des Bulletins enthält „Keine“.

• Der Ausnutzungsbefund. Keiner. Der SSVC-Eintrag von CISA vom 23. September 2026 enthält Ausnutzung: keine; der EPSS-Wert von 0,37 % zum 25. Oktober 2026 ist eine Prognose, keine Beobachtung; in keiner der geprüften Quellen erscheint ein Opfer, eine Transaktion oder ein Verlust.

Nicht geklärt. Wer die Schwachstelle gefunden hat und wie – im Bulletin wird niemand genannt, und es gibt keine öffentliche Analyse von einer namentlich genannten Forscherin oder einem namentlich genannten Forscher. Ob die verwundbare Route in einer Standardbereitstellung offenliegt oder nur unter einer bestimmten Konfiguration. Was 4.0.11.0 tatsächlich ändert: ob die Upsert-Route nun eine Authentifizierung erfordert, entfernt oder auf andere Weise eingeschränkt wurde. Ob irgendeine FTM-Bereitstellung den Endpunkt jemals einem nicht vertrauenswürdigen Netzwerk ausgesetzt hat und wie lange zwischen der Reservierung am 4. August und der Veröffentlichung am 23. September. Und ob die Zahlungsaktionen, vor denen IBM warnt, irgendwo jemals versucht wurden.

Die Versionsbereiche in sekundären Trackern stimmen nicht alle überein. Einige geben den betroffenen Bereich als „4.0.6.0 und früher“ wieder, was nicht dem entspricht, was IBM veröffentlicht hat; andere nennen 4.0.7.0 bis ausschließlich 4.0.11.0, was mit NVDs maschinenlesbarer Konfiguration übereinstimmt, aber die Interim-Fix-Linie 4.0.6.0 auslässt. IBMs Bulletin ist hier maßgeblich und führt die sechs Versionslinien auf, die in der Karte oben wiedergegeben sind.

Eine weitere Sache ist nicht geklärt, weil niemand versucht hat, sie zu klären: Kein etabliertes Nachrichtenmedium und kein unabhängiges Forschungsinstitut scheint eine eigene Analyse von CVE-2026-18875 veröffentlicht zu haben. Die einzige öffentlich dokumentierte Bewertung, die nicht von IBM stammt, ist CISAs SSVC-Block mit drei Feldern. Stand 26. Oktober 2026 besteht die Berichterstattung aus IBMs Bulletin, dem CVE-Eintrag, NVD, GitHubs Advisory und einer Reihe von Schwachstellen-Trackern, die IBMs Text wiedergeben. Mehrere Suchergebnisse zur CVE sind Blogbeiträge unklarer Herkunft, die maschinell generiert wirken, einige davon auf Websites, die auch Krypto-Preis-Widgets veröffentlichen; keiner davon wurde hier als Quelle verwendet. Es gibt keine zweite, unabhängige Darstellung dieses Fehlers.

Die Lösung und die Lücke danach

Die Behebung von IBM ist ein Versions-Upgrade und sonst nichts: FTM for Red Hat OpenShift-Bereitstellungen auf 4.0.11.0 aktualisieren, erster Fix unter Support-Node 7285661, ohne dass eine vorläufige Problemumgehung angeboten wird. Gerade der letzte Punkt ist praktisch wichtig. Wenn ein Anbieter unter Problemumgehungen „Keine“ veröffentlicht, bleiben einem Betreiber, der im Rahmen seines Zahlungszeitplans nicht auf 4.0.11.0 umsteigen kann, nur die Maßnahmen, die der Anbieter nicht schriftlich festgehalten hat – den Zugriff darauf zu beschränken, wer die Runbook-Schnittstellen des Agent-Servers erreichen kann, was Redbot Security empfiehlt und IBM nicht.

Die Bedeutung ergibt sich daraus, was FTM ist. IBM beschreibt es als „einen einheitlichen Payments-Hub, der alle Zahlungsarten einschließlich Batch- und Echtzeitmodellen sicher verarbeitet, überwacht und verwaltet,“ mit ISO-20022-Unterstützung für die Verarbeitung und das Routing von Transaktionen sowie einem begleitenden SWIFT-Produkt für zertifizierte SWIFT-Konnektivität. Die Produktseite von IBM bewirbt außerdem einen FTM AI Assistant, eine „agentische, durch generative KI gestützte Konversationsschnittstelle“ für Zahlungen, Genehmigungen, Systemleistung und Dokumentation. Die Sicherheitsmitteilung nennt einen „FTM AI agent server“ als Ort der Schwachstelle und sagt nichts darüber, wie dieser Server mit dem Assistant auf der Marketingseite zusammenhängt. Wer aus den beiden Dokumenten zusammen ein Architekturdiagramm erstellt, muss raten.

Die Design-Lehre, die Redbot aus dem Fall zieht, ist diejenige, die den Patch übersteht: Abgerufene Inhalte gehören nicht in den Autoritätspfad. Seine Empfehlungen lauten, dass Erstellung, Ersetzung und Löschung von Runbooks Authentifizierung, Genehmigung und Zurechenbarkeit erfordern; dass abgerufene Runbooks niemals eigenständig Zahlungen autorisieren, den Transaktionsumfang erweitern oder externe Datenübertragung erlauben dürfen; und dass die angebundenen Zahlungsdienste ihre eigenen Berechtigungen durchsetzen, unabhängig davon, wie der Agent interpretiert, was er abgerufen hat. Das sind Empfehlungen eines Threat-Intelligence-Unternehmens, keine Zusagen von IBM, und IBMs Bulletin enthält keine davon.

Warum das Archiv es als mittel bezeichnet

Der Eintrag und der CVSS-Score beantworten unterschiedliche Fragen, und die Diskrepanz zwischen beiden ist die ehrliche Zusammenfassung dieses Falls. IBMs 7,3 ist ein Score im HIGH-Bereich für eine Schwachstelle, die trivial erreichbar ist. Das Archiv führt den Eintrag als Schwachstelle und nicht als Vorfall, mit Schweregrad medium, real harm false, Konfidenz A und ohne Dispute-Flag, auf den Tag genau datiert auf den 23. September 2026 und mit einem globalen Regionsfeld erfasst. Diese Felder beschreiben, was geschehen ist, und geschehen ist nichts.

Diese Kombination ist der Kern des Eintrags. Ein Zahlungsagent, der aus einem Speicher las, in den jeder schreiben konnte, ist eine ernsthafte Ingenieursleistung, und er wurde in einem Versionsupgrade behoben, bevor bekannt ist, dass ihn jemand genutzt hätte. Beide Hälften sind wahr, und die Aufzeichnung hält sie getrennt, statt die Punktzahl oder das Schweigen allein sprechen zu lassen.