El Agente de Pagos de IBM aceptaba escrituras no autenticadas en el runbook — CVE-2026-18875

IBM reveló una falla en el servidor de agentes de IA de su plataforma de pagos, IBM Financial Transaction Manager: un solicitante sin credenciales podía escribir un runbook de su elección en la base de datos vectorial de la que recupera información el agente, y las propias llamadas a herramientas del Protocolo de Contexto de Modelo del agente podían entonces verse dirigidas por lo que este leía. El boletín de seguridad de IBM, publicado el 21 de septiembre de 2026, señala que la falla podría dar lugar a "acciones de pago no autorizadas o exfiltración de datos de pago." La CVE, CVE-2026-18875, se publicó el 23 de septiembre de 2026 con una puntuación base CVSS 3.1 de 7,3, asignada a CWE-74, y ubicada en api.vectordb.runbooks.js:51. No se ha registrado explotación en el mundo real, y no se ha atribuido a ella ninguna pérdida de clientes, pagos ni datos. Este relato se basa en una única entrada del Orca AI Incident Archive, que registra CVE-2026-18875 como una vulnerabilidad de gravedad media sin daños registrados y la sitúa junto a los demás incidentes de agentes documentados.

Un CVE dentro de un boletín de cuarenta y siete CVE

El aviso de IBM sobre esta falla no es un aviso independiente. Es una única entrada en Boletín de seguridad: IBM Financial Transaction Manager (FTM) se ve afectado por múltiples vulnerabilidades, documento UID ibm17288641, cuyas tablas de productos afectados y de remediación cubren cada CVE del lote. La página contiene 47 identificadores CVE distintos, puntuados por IBM entre 3.7 y 9.9, y su historial de cambios contiene exactamente una línea: "21 sep 2026: Publicación inicial." El boletín no se revisó después de aparecer, y su sección de Agradecimientos está vacía — IBM no acredita a ningún investigador, informante ni cliente por ninguno de los 47 hallazgos.

La entrada de RAG es la excepción de esa lista. La mayoría de las descripciones de CVE vecinas se leen como medidas habituales de higiene de middleware: claves criptográficas codificadas de forma rígida, recorrido de rutas, manejo de entidades externas XML, deserialización insegura, una comprobación de autorización ausente que, según IBM, «podría permitir que un atacante remoto ejecute acciones de pago no autorizadas». CVE-2026-18875 es la única que describe un defecto en la forma en que el agente de IA del producto adquiere el material sobre el que razona. La descripción de IBM, citada íntegramente del aviso:

IBM Financial Transaction Manager (FTM) 4.x es vulnerable al envenenamiento de RAG mediante la inserción no autenticada de runbooks (CWE-74) en el servidor del agente de IA de FTM (api.vectordb.runbooks.js:51). Un atacante no autenticado puede insertar contenido malicioso de runbooks en la base de datos vectorial del agente para dirigir las llamadas a herramientas MCP impulsadas por IA, lo que podría desencadenar acciones de pago no autorizadas o exfiltrar datos de pagos.

Vale la pena separar las fechas, porque el registro y el boletín no utilizan la misma. El boletín de IBM tiene una fecha de publicación inicial del 21 de septiembre de 2026. El identificador CVE se reservó el 4 de agosto de 2026 y el propio registro CVE se publicó el 23 de septiembre de 2026 a las 15:47 UTC; la entrada del NVD llegó a las 16:16 UTC de ese mismo día. El archivo registra el incidente el 23 de septiembre de 2026, el día en que el CVE se hizo público, con precisión de día.

El mecanismo: escribir en el almacén en el que confía el agente

Un sistema de generación aumentada por recuperación funciona obteniendo pasajes de un almacén y colocándolos delante del modelo como contexto. El aviso de IBM sitúa una función de «runbook upsert» en esa capa —una operación que escribe una entrada de runbook en la base de datos vectorial del agente— y afirma que la operación aceptó la escritura sin autenticación. La ruta del aviso, api.vectordb.runbooks.js:51, apunta a un servicio JavaScript, que es toda la arquitectura que IBM divulga.

Eso hace que esto sea un planteamiento distinto del de la inyección indirecta de instrucciones de la que dependen la mayoría de los incidentes de agentes. En el caso habitual, un atacante tiene que poner contenido delante de un agente que navega o lee archivos: envenenar una página que el agente obtendrá, un documento que abrirá o un correo electrónico que resumirá. Aquí no hay que recuperar nada del exterior. El atacante escribe el conocimiento envenenado directamente en el almacén en el que el agente ya confía, y el almacén se lo devuelve como orientación operativa verificada durante un flujo de trabajo de pago. Redbot Security, una empresa de inteligencia de amenazas que documentó el fallo como RBT-TI-0099 y lo describe como inyección indirecta de instrucciones con exfiltración de datos sin clic, resume la distinción en una frase: "El contenido recuperado puede convertirse en una influencia operativa." El archivo etiqueta el registro con IPI e INFRA por la misma razón: la ruta de inyección es la capa de instrucciones del agente, y la vulnerabilidad está en la infraestructura.

Lo que IBM no dice importa tanto como lo que sí dice. El aviso no nombra las herramientas MCP que el agente puede invocar, no indica a qué operaciones de pago llegan, no dice si la ruta de upsert está expuesta en una implementación predeterminada de FTM o solo en configuraciones particulares, y no describe el modelo de autenticación que supuestamente debía protegerla. Dice «potencialmente», y se detiene ahí.

Leyendo un 7.3

El vector CVSS 3.1 es AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L. Desglosado: accesible a través de la red, complejidad de ataque baja, no se requieren privilegios, no se requiere interacción del usuario —lo que es precisamente lo que lo hace grave—, y luego impacto bajo en confidencialidad, impacto bajo en integridad e impacto bajo en disponibilidad, alcance sin cambios. Las propias cifras de IBM sitúan la explotabilidad en 3,9 y el impacto en 3,4. Todas las dimensiones de impacto evaluadas por IBM son Bajas. El 7,3 se sustenta casi por completo en lo fácil que es llegar a la vulnerabilidad, no en el daño que IBM cree que causa.

IBM es la única parte que la ha puntuado. NVD marca CVE-2026-18875 como "Analyzed" a fecha de 7 de octubre de 2026, pero la única métrica CVSS de su registro es la de IBM, etiquetada como Secondary; NVD no aportó ninguna puntuación primaria propia. GitHub Advisory Database contiene la misma descripción y el mismo 7.3, publicados el 23 de septiembre de 2026 a las 18:31 UTC.

Lo más parecido a una evaluación que IBM no escribió proviene del bloque ADP Vulnrichment de CISA en el registro CVE, una decisión SSVC 2.0.3 registrada el 23 de septiembre de 2026 a las 18:48 UTC: Explotación: ninguna. Automatizable: sí. Impacto técnico: parcial. Ese veredicto dice dos cosas a la vez, y ambas pertenecen a la misma frase: el coordinador de CISA no vio explotación en el momento de la publicación y consideró que el fallo era automatizable — el tipo de cosa que un escáner o un script podrían procesar en lugar de un ataque manual puntual.

El Sistema de Puntuación de Predicción de Exploits de FIRST situó CVE-2026-18875 en 0,00369, es decir, aproximadamente un 0,37 %, en el percentil 30, en la ejecución del modelo con fecha del 25 de octubre de 2026. EPSS estima la probabilidad de que se observe explotación en los próximos 30 días; una puntuación en el percentil 30 es una cifra discreta, y se trata de una previsión, no de un informe de algo que haya ocurrido.

Qué está establecido y qué no

Establecido. La vulnerabilidad existe y está documentada en fuentes primarias que coinciden entre sí: el boletín de IBM del 21 de septiembre de 2026, el registro CVE publicado el 23 de septiembre de 2026, la entrada analizada de NVD y el aviso de GitHub. El rango de versiones afectadas, la versión de corrección, la puntuación y el vector CVSS, la asignación de CWE y la ubicación del código son idénticos en todas ellas. La ruta de escritura era accesible sin credenciales; eso figura en la propia descripción de IBM, no es una inferencia a partir de la puntuación. El coordinador de CISA no registró ninguna explotación. El archivo califica la confianza del registro como A, no disputado, con el daño real registrado como falso.

• La vulnerabilidad. Un upsert de runbook no autenticado en el servidor del agente de IA de FTM, en api.vectordb.runbooks.js:51, que permitía a un atacante insertar contenido en la base de datos vectorial desde la que recupera información el agente. Es la redacción de IBM, no una reconstrucción.

• La consecuencia que IBM afirma. Que el contenido envenenado podría dirigir las llamadas a herramientas MCP hacia acciones de pago no autorizadas o la exfiltración de datos de pago. IBM lo plantea como un resultado posible; no afirma haberlo demostrado en un entorno de cliente.

• La corrección. FTM 4.0.11.0, referenciado desde el nodo de soporte de IBM 7285661. El campo Workarounds and Mitigations del boletín indica «Ninguno».

• El historial de explotación. Ninguno. El registro SSVC de CISA del 23 de septiembre de 2026 indica Explotación: ninguna; la cifra EPSS del 0,37 % al 25 de octubre de 2026 es una previsión, no una observación; no aparece ninguna víctima, transacción o pérdida en ninguna fuente revisada.

No establecido. Quién encontró la falla y cómo — el boletín no atribuye a nadie, y no hay un informe público de un investigador identificado. Si la ruta vulnerable queda expuesta en una implementación predeterminada o solo bajo una configuración específica. Qué cambia realmente la 4.0.11.0: si la ruta de upsert ahora requiere autenticación, o fue eliminada, o fue restringida de alguna otra forma. Si alguna implementación de FTM llegó a exponer el endpoint a una red no confiable, y durante cuánto tiempo entre la reserva del 4 de agosto y la publicación del 23 de septiembre. Y si alguna vez se intentaron en algún lugar las acciones de pago que advierte IBM.

Los rangos de versiones de los rastreadores secundarios no coinciden entre sí. Algunos presentan el rango afectado como «4.0.6.0 y anteriores», lo que no es lo que publicó IBM; otros indican de 4.0.7.0 hasta 4.0.11.0 sin incluirla, lo que coincide con la configuración legible por máquina de NVD, pero omite la línea de corrección provisional 4.0.6.0. El boletín de IBM es la autoridad en este caso y enumera las seis líneas de versión reproducidas en la tarjeta anterior.

Una cosa más que no está establecida, porque nadie ha intentado establecerla: ninguna organización de noticias mainstream ni laboratorio de investigación independiente parece haber publicado su propio análisis de CVE-2026-18875. La única evaluación en el registro público que IBM no escribió es el bloque SSVC de tres campos de CISA. A fecha del 26 de octubre de 2026, la cobertura se compone del boletín de IBM, el registro CVE, NVD, el aviso de GitHub y un conjunto de rastreadores de vulnerabilidades que reproducen el texto de IBM. Varios resultados de búsqueda sobre el CVE son entradas de blog de procedencia incierta que parecen generadas por máquina, algunas de ellas en sitios que también publican widgets de precios de criptomonedas; ninguno de ellos se usó como fuente aquí. No existe un segundo relato independiente de este fallo.

La corrección, y el vacío después de ella

La remediación de IBM es una actualización de versión y nada más: actualizar las implementaciones de FTM for Red Hat OpenShift a 4.0.11.0, primera corrección en el nodo de soporte 7285661, sin que se ofrezca ninguna solución provisional. Ese último punto es el prácticamente importante. Cuando un proveedor publica «Ninguna» en el apartado de soluciones provisionales, a un operador que no puede pasar a 4.0.11.0 según el calendario de pagos solo le quedan las medidas que el proveedor no documentó: restringir quién puede acceder a las interfaces de runbook del servidor del agente, lo que Redbot Security recomienda y IBM no.

Lo que está en juego viene determinado por lo que es FTM. IBM lo describe como "un centro de pagos unificado que procesa, supervisa y gestiona de forma segura todos los tipos de pago, incluidos los modelos por lotes y en tiempo real", con soporte de ISO 20022 para procesar y enrutar transacciones, y un producto complementario de SWIFT para una conectividad SWIFT certificada. La página de producto de IBM también promociona un FTM AI Assistant, una "interfaz conversacional agéntica impulsada por IA generativa" que abarca pagos, aprobaciones, rendimiento del sistema y documentación. El aviso nombra un "FTM AI agent server" como la ubicación de la falla y no dice nada sobre cómo se relaciona ese servidor con el asistente de la página de marketing. Cualquiera que dibuje un diagrama de arquitectura a partir de los dos documentos juntos está adivinando.

La lección de diseño que Redbot extrae del caso es la que sobrevive al parche: mantener el contenido recuperado fuera de la ruta de autoridad. Sus recomendaciones son que la creación, sustitución y eliminación de runbooks requieran autenticación, aprobación y atribución; que los runbooks recuperados nunca puedan autorizar pagos, ampliar el alcance de las transacciones ni permitir la transferencia externa de datos por sí solos; y que los servicios de pago conectados apliquen sus propios permisos independientemente de cómo interprete el agente lo que ha recuperado. Esas son recomendaciones de una empresa de inteligencia de amenazas, no compromisos de IBM, y el boletín de IBM no incluye ninguna de ellas.

Por qué el archivo lo llama mediano

El registro y la puntuación CVSS responden a preguntas distintas, y la brecha entre ambos es el resumen honesto de este caso. El 7.3 de IBM es una puntuación de la banda ALTA para una falla que es trivialmente alcanzable. El archivo registra la entrada como una vulnerabilidad en lugar de un incidente, con severidad media, daño real falso, confianza A y sin marca de disputa, fechada exactamente el 23 de septiembre de 2026 y registrada con un campo de región global. Esos campos describen lo que ocurrió, y lo que ocurrió es nada.

Esa combinación es el quid de la entrada. Un agente de pagos que leía de un almacén al que cualquiera podía escribir es una pieza de ingeniería seria, y se corrigió en una actualización de versión antes de que se sepa que alguien lo haya usado. Ambas mitades son ciertas, y el registro las mantiene separadas en lugar de dejar que la puntuación o el silencio hablen por sí solos.