סוכן התשלומים של IBM קיבל כתיבות Runbook ללא אימות — CVE-2026-18875

IBM חשפה פגם בשרת סוכן ה-AI של פלטפורמת התשלומים שלה, IBM Financial Transaction Manager: קורא ללא אישורי גישה יכול היה לכתוב runbook לפי בחירתו אל מסד הנתונים הווקטורי שממנו הסוכן שולף, ולאחר מכן ניתן היה לכוון את קריאות הכלים מסוג Model Context Protocol של הסוכן עצמו לפי מה שקרא. עלון האבטחה של IBM, שפורסם ב-21 בספטמבר 2026, אומר שהפגם עלול להוביל ל"פעולות תשלום בלתי מורשות או הדלפת נתוני תשלום." ה-CVE, CVE-2026-18875, פורסם ב-23 בספטמבר 2026 עם ציון בסיס CVSS 3.1 של 7.3, ממופה ל-CWE-74, וממוקם ב-api.vectordb.runbooks.js:51. לא תועד ניצול בטבע, ולא יוחסו לו אובדן לקוחות, אובדן תשלומים או אובדן נתונים. תיאור זה מבוסס על רשומה בודדת ב-Orca AI Incident Archive, שמתעד את CVE-2026-18875 כפגיעות בעלת חומרה בינונית ללא נזק מתועד וממקם אותו לצד שאר אירועי הסוכן המתועדים.

CVE אחד בתוך עלון של ארבעים ושבעה CVE

הייעוץ של IBM בנוגע לפגם זה אינו הודעה עצמאית. הוא רשומה אחת בתוך עלון אבטחה: IBM Financial Transaction Manager (FTM) מושפע ממספר פגיעויות, שמזהה המסמך שלו הוא ibm17288641, שטבלאות המוצרים המושפעים והתיקון שלו מכסות כל CVE באצווה. העמוד כולל 47 מזהי CVE נפרדים, בדירוג של IBM מ-3.7 עד 9.9, והיסטוריית השינויים שלו מכילה שורה אחת בדיוק: "21 בספט׳ 2026: פרסום ראשוני." העלון לא עודכן לאחר פרסומו, וסעיף התודות שלו ריק — IBM אינה מעניקה קרדיט לאף חוקר, מדווח או לקוח בגין אף אחד מ-47 הממצאים.

רשומת ה-RAG היא החריגה ברשימה הזו. רוב תיאורי ה-CVE השכנים נקראים כמו היגיינת middleware שגרתית: מפתחות קריפטוגרפיים מקודדים מראש, path traversal, טיפול ב-XML external entity, דה-סריאליזציה לא בטוחה, בדיקת הרשאה חסרה שלדברי IBM "עלולה לאפשר לתוקף מרוחק לבצע פעולות תשלום לא מורשות". CVE-2026-18875 הוא היחיד שמתאר פגם באופן שבו סוכן ה-AI של המוצר רוכש את החומר שעליו הוא מבצע היסק. התיאור של IBM, מובא במלואו מהייעוץ:

IBM Financial Transaction Manager (FTM) 4.x חשוף ל-RAG poisoning באמצעות upsert לא מאומת של runbook (CWE-74) בשרת סוכן ה-AI של FTM (api.vectordb.runbooks.js:51). תוקף לא מאומת יכול להכניס תוכן runbook זדוני למסד הנתונים הווקטורי של הסוכן כדי לכוון קריאות לכלי MCP מונעות AI, ובכך עלול לעורר פעולות תשלום בלתי מורשות או להדליף נתוני תשלום.

כדאי להפריד בין התאריכים, משום שהרשומה והעלון אינם משתמשים באותו תאריך. העלון של IBM נושא תאריך פרסום ראשוני של 21 בספטמבר 2026. מזהה ה-CVE הוקצה ב-4 באוגוסט 2026, והרשומה של ה-CVE עצמה פורסמה ב-23 בספטמבר 2026 בשעה 15:47 UTC; הערך של NVD נוסף בשעה 16:16 UTC באותו יום. הארכיון מתעד את האירוע ב-23 בספטמבר 2026, היום שבו ה-CVE הפך לציבורי, ברמת דיוק של יום.

המנגנון: כתיבה אל המאגר שהסוכן סומך עליו

מערכת retrieval-augmented generation פועלת על ידי שליפת קטעי טקסט ממאגר והצבתם לפני המודל כהקשר. הודעת הייעוץ של IBM ממקמת פונקציית "runbook upsert" בשכבה הזו — פעולה שכותבת רשומת runbook אל מסד הנתונים הווקטורי של הסוכן — ואומרת שהפעולה קיבלה את הכתיבה ללא אימות. הנתיב בהודעת הייעוץ, api.vectordb.runbooks.js:51, מצביע על שירות JavaScript, וזה כל המידע הארכיטקטוני ש-IBM חושפת.

זה הופך את המקרה להצעה שונה מזו של הזרקת פרומפט עקיפה שעליה סובבות רוב תקריות הסוכנים. במקרה הרגיל, התוקף צריך להביא תוכן לפני סוכן גולש או קורא קבצים: להרעיל דף שהסוכן יביא, מסמך שהוא יפתח, דוא"ל שהוא יסכם. כאן אין צורך להביא דבר מבחוץ. התוקף כותב את הידע המורעל ישירות אל תוך המאגר שהסוכן כבר סומך עליו, והמאגר מחזיר אותו כהנחיה תפעולית מאומתת במהלך תהליך עבודה של תשלום. Redbot Security, חברת מודיעין איומים שכתבה את הפגם כ-RBT-TI-0099 ומציגה אותו כהזרקת פרומפט עקיפה עם דליפת נתונים ללא קליק, מנסחת את ההבחנה בשורה אחת: "תוכן שנשלף יכול להפוך להשפעה תפעולית." הארכיון מתייג את הרשומה כ-IPI וכ-INFRA מאותה סיבה — נתיב ההזרקה הוא שכבת ההוראות של הסוכן, והפגיעות היא בתשתית.

מה ש-IBM אינה אומרת חשוב לא פחות ממה שהיא כן אומרת. הייעוץ אינו מציין את כלי ה-MCP שהסוכן יכול לקרוא להם, אינו אומר לאילו פעולות תשלום הם מגיעים, אינו אומר אם נתיב ה-upsert חשוף בפריסת FTM כברירת מחדל או רק בתצורות מסוימות, ואינו מתאר את מודל האימות שאמור היה להגן עליו. הוא אומר "באופן פוטנציאלי", ועוצר שם.

קורא 7.3

וקטור CVSS 3.1 הוא AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L. כשמפרקים אותו: נגיש דרך הרשת, מורכבות תקיפה נמוכה, אין צורך בהרשאות, אין אינטראקציית משתמש — וזה מה שהופך אותו לחמור — ולאחר מכן השפעה נמוכה על סודיות, השפעה נמוכה על שלמות והשפעה נמוכה על זמינות, היקף ללא שינוי. הנתונים של IBM עצמה מציבים את יכולת הניצול ב-3.9 ואת ההשפעה ב-3.4. כל ממד השפעה ש-IBM העריכה הוא נמוך. ה-7.3 נובע כמעט כולו מהקלות שבה ניתן להגיע לפגם, ולא מכמה נזק IBM סבורה שהוא גורם.

IBM היא הגורם היחיד שהעניק לו ציון. NVD מסמנת את CVE-2026-18875 כ-"Analyzed" נכון ל-7 באוקטובר 2026, אך מדד ה-CVSS היחיד ברשומה הוא זה של IBM, המתויג כ-Secondary; NVD לא סיפקה ציון ראשי משלה. מסד הנתונים GitHub Advisory Database מכיל את אותו תיאור ואת אותו 7.3, שפורסם ב-23 בספטמבר 2026 בשעה 18:31 UTC.

הדבר הקרוב ביותר להערכה ש-IBM לא כתבה מגיע מבלוק ה-ADP Vulnrichment של CISA ברשומת ה-CVE, החלטת SSVC 2.0.3 שתועדה ב-23 בספטמבר 2026 בשעה 18:48 UTC: ניצול: אין. אוטומציה: כן. השפעה טכנית: חלקית. פסק דין זה אומר שני דברים בעת ובעונה אחת, ושניהם שייכים לאותו משפט: הרכז של CISA לא ראה ניצול בזמן הפרסום, וראה בפגיעות ניתנת לאוטומציה — מסוג הדברים שסורק או סקריפט יכולים לעבור עליהם, ולא מתקפה ידנית חד-פעמית.

מערכת הניקוד לחיזוי ניצול של FIRST הציבה את CVE-2026-18875 על 0.00369, או כ-0.37%, באחוזון ה-30, בהרצת המודל מתאריך 25 באוקטובר 2026. EPSS אומד את ההסתברות לניצול נצפה ב-30 הימים הקרובים; ציון באחוזון ה-30 הוא מספר שקט, והוא תחזית ולא דוח על משהו שקרה.

מה מבוסס, ומה לא

מבוסס. הפגיעות קיימת ומתועדת במקורות ראשוניים שמסכימים זה עם זה: ההודעה של IBM מ-21 בספטמבר 2026, רשומת ה-CVE שפורסמה ב-23 בספטמבר 2026, הערך המנותח של NVD והייעוץ של GitHub. טווח הגרסאות המושפעות, גרסת התיקון, ציון ה-CVSS והווקטור שלו, מיפוי ה-CWE ומיקום הקוד זהים בכולם. נתיב הכתיבה היה נגיש ללא אישורים — זה מופיע בתיאור של IBM עצמה, ולא כהסקה מהציון. הרכז של CISA לא תיעד ניצול. הארכיון מדרג את ודאות הרשומה כ-A, לא שנויה במחלוקת, כאשר נזק ממשי נרשם כלא נכון.

• הפגם. עדכון (upsert) של runbook ללא אימות בשרת הסוכן של FTM AI, בקובץ api.vectordb.runbooks.js:51, שאיפשר לתוקף להכניס תוכן למסד הנתונים הווקטורי שממנו הסוכן מאחזר. זה הניסוח של IBM, לא שחזור.

• התוצאה ש-IBM טוענת לה. תוכן מורעל כזה יכול להסיט קריאות לכלי MCP לעבר פעולות תשלום לא מורשות או חילוץ נתוני תשלום. IBM מציגה זאת כתוצאה אפשרית; היא אינה טוענת שהוכיחה זאת בסביבת לקוח.

• התיקון. FTM 4.0.11.0, בהפניה מצומת התמיכה של IBM 7285661. השדה Workarounds and Mitigations של הבולטין מציין "None."

• רשומת הניצול לרעה. אין. רשומת ה-SSVC של CISA מתאריך 23 בספטמבר 2026 נושאת ניצול: אין; נתון ה-EPSS של 0.37% נכון ל-25 באוקטובר 2026 הוא תחזית, לא תצפית; לא מופיעים קורבן, עסקה או הפסד באף מקור שנבחן.

לא נקבע. מי מצא את הפגם וכיצד — הבולטין אינו מייחס זאת לאיש, ואין פרסום פומבי מאת חוקר מזוהה. האם הנתיב הפגיע חשוף בפריסת ברירת מחדל או רק בתצורה מסוימת. מה 4.0.11.0 משנה בפועל: האם נתיב ה-upsert דורש כעת אימות, או שהוסר, או שצומצם בדרך אחרת. האם פריסת FTM כלשהי חשפה אי פעם את נקודת הקצה לרשת לא מהימנה, ולכמה זמן בין ההזמנה ב-4 באוגוסט לפרסום ב-23 בספטמבר. והאם נעשה אי פעם ניסיון לבצע במקום כלשהו את פעולות התשלום ש-IBM מזהירה מפניהן.

טווחי הגרסאות בכלי מעקב משניים אינם תואמים זה לזה. חלקם מציגים את הטווח המושפע כ־"4.0.6.0 וגרסאות קודמות", וזה לא מה ש-IBM פרסמה; אחרים מציינים מ-4.0.7.0 ועד 4.0.11.0, לא כולל, מה שמתאים לתצורה הקריאה למכונה של NVD אך משמיט את קו תיקוני הביניים 4.0.6.0. הבולטין של IBM הוא הגורם המוסמך כאן, והוא מפרט את ששת קווי הגרסאות המופיעים בכרטיס שלמעלה.

עוד דבר אחד שאינו מבוסס, מפני שאיש לא ניסה לבסס אותו: נראה כי שום ארגון חדשות מהזרם המרכזי או מעבדת מחקר עצמאית לא פרסמו ניתוח משלהם של CVE-2026-18875. ההערכה היחידה בתיעוד הציבורי שלא נכתבה על ידי IBM היא בלוק ה-SSVC בן שלושת השדות של CISA. נכון ל-26 באוקטובר 2026, הסיקור מורכב מההודעה של IBM, רשומת ה-CVE, NVD, ייעוץ האבטחה של GitHub וקבוצה של רכיבי מעקב אחר פגיעוּת שמשחזרים את הטקסט של IBM. כמה מתוצאות החיפוש על ה-CVE הן פוסטים בבלוגים ממוצא לא ברור שנקראים כמחוללים על ידי מכונה, חלקם באתרים שמפרסמים גם וידג'טים של מחירי קריפטומטבעות; אף אחד מהם לא שימש כמקור כאן. אין תיאור שני ובלתי תלוי של הבאג הזה.

התיקון, והפער שאחריו

המענה של IBM לבעיה הוא שדרוג גרסה ותו לא: עדכון FTM for Red Hat OpenShift deployments ל-4.0.11.0, התיקון הראשון בצומת התמיכה 7285661, ללא פתרון עקיף זמני מוצע. הנקודה האחרונה היא החשובה מבחינה מעשית. כאשר ספק מפרסם "None" תחת פתרונות עקיפים, מפעיל שאינו יכול לעבור ל-4.0.11.0 לפי לוח זמנים של תשלומים נותר רק עם האמצעים שהספק לא כתב — הגבלת מי שיכול לגשת לממשקי ה-runbook של שרת הסוכן, מה ש-Redbot Security ממליצה עליו ו-IBM לא.

מידת הסיכון נקבעת לפי מהותו של FTM. IBM מתארת אותו כ"רכז תשלומים מאוחד שמעבד, מנטר ומנהל באופן מאובטח את כל סוגי התשלומים, כולל מודלים של אצווה וזמן אמת," עם תמיכה ב-ISO 20022 לעיבוד וניתוב עסקאות, ומוצר SWIFT נלווה לקישוריות SWIFT מוסמכת. בעמוד המוצר של IBM משווקים גם FTM AI Assistant, ממשק "שיחתי אייג'נטי מבוסס AI גנרטיבי" המכסה תשלומים, אישורים, ביצועי מערכת ותיעוד. הייעוץ מציין את "FTM AI agent server" כמיקום הפגם ואינו אומר דבר על האופן שבו שרת זה קשור לעוזר שבעמוד השיווק. כל מי שמצייר תרשים ארכיטקטורה משני המסמכים יחד מנחש.

לקח העיצוב ש-Redbot מפיק מהמקרה הוא זה ששורד את התיקון: להרחיק תוכן שאוחזר מנתיב הסמכות. ההמלצות שלו הן שיצירה, החלפה ומחיקה של runbook מחייבות אימות, אישור וייחוס; שאין לאפשר ל-runbooks שאוחזרו להסמיך תשלומים, להרחיב את היקף העסקאות או להתיר העברת נתונים חיצונית בעצמם; וששירותי התשלום המחוברים אוכפים את ההרשאות שלהם ללא תלות באופן שבו הסוכן מפרש את מה שאיחזר. אלה המלצותיה של חברת מודיעין איומים, לא התחייבויותיה של IBM, והעלון של IBM אינו כולל אף אחת מהן.

למה הארכיון קורא לזה בינוני

הרשומה וציון CVSS עונים על שאלות שונות, והפער ביניהם הוא הסיכום הכנה של המקרה הזה. ה-7.3 של IBM הוא ציון בטווח HIGH עבור פגם שנגיש באופן טריוויאלי. הארכיון רושם את הערך כפגיעות ולא כתקרית, עם חומרה medium, נזק ממשי false, רמת ביטחון A וללא דגל מחלוקת, מתוארך ל-23 בספטמבר 2026 ליום המדויק, והוגש עם שדה אזור גלובלי. השדות האלה מתארים מה קרה, ומה שקרה הוא כלום.

השילוב הזה הוא לב העניין בערך. סוכן תשלומים שקרא ממאגר שכל אחד יכול היה לכתוב אליו הוא הישג הנדסי רציני, והוא תוקן בשדרוג גרסה לפני שידוע שמישהו השתמש בו. שני החצאים נכונים, והרשומה שומרת עליהם נפרדים במקום לתת לניקוד או לשתיקה לדבר לבדם.