Payment Agent milik IBM Menerima Penulisan Runbook Tanpa Autentikasi — CVE-2026-18875

IBM mengungkap cacat pada server agen AI dari platform pembayarannya, IBM Financial Transaction Manager: pemanggil tanpa kredensial dapat menulis runbook pilihannya sendiri ke dalam basis data vektor yang diambil oleh agen, lalu panggilan alat Model Context Protocol milik agen tersebut dapat diarahkan oleh apa yang dibacanya. Buletin keamanan IBM, yang diterbitkan pada 21 September 2026, menyatakan bahwa cacat ini dapat menyebabkan "tindakan pembayaran tidak sah atau eksfiltrasi data pembayaran." CVE tersebut, CVE-2026-18875, diterbitkan pada 23 September 2026 dengan skor dasar CVSS 3.1 sebesar 7.3, dipetakan ke CWE-74, dan berlokasi di api.vectordb.runbooks.js:51. Belum ada eksploitasi di alam liar yang tercatat, dan tidak ada pelanggan, pembayaran, atau kehilangan data yang dikaitkan dengannya. Uraian ini diambil dari satu entri di Orca AI Incident Archive, yang mencatat CVE-2026-18875 sebagai kerentanan dengan tingkat keparahan sedang tanpa kerugian yang tercatat dan menempatkannya di samping insiden agen lain yang terdokumentasi.

Satu CVE di dalam buletin berisi empat puluh tujuh CVE

Nasihat IBM untuk kelemahan ini bukan pemberitahuan tersendiri. Ini adalah satu entri dalam Buletin Keamanan: IBM Financial Transaction Manager (FTM) Terdampak oleh Berbagai Kerentanan, dokumen UID ibm17288641, yang tabel produk terdampak dan remediasinya mencakup setiap CVE dalam kumpulan tersebut. Halaman itu memuat 47 pengenal CVE yang berbeda, dengan skor dari IBM berkisar 3.7 hingga 9.9, dan riwayat perubahannya hanya berisi satu baris: "21 Sep 2026: Publikasi Awal." Buletin tersebut tidak direvisi setelah terbit, dan bagian Ucapan Terima Kasih-nya kosong — IBM tidak memberikan kredit kepada peneliti, pelapor, atau pelanggan mana pun atas ke-47 temuan tersebut.

Entri RAG adalah pencilan dalam daftar itu. Sebagian besar deskripsi CVE di sekitarnya terdengar seperti higiene middleware biasa: kunci kriptografis yang di-hardcode, path traversal, penanganan external entity XML, deserialisasi yang tidak aman, pemeriksaan otorisasi yang hilang yang menurut IBM "dapat memungkinkan penyerang jarak jauh menjalankan tindakan pembayaran yang tidak sah." CVE-2026-18875 adalah satu-satunya yang menjelaskan cacat dalam cara agen AI produk memperoleh materi yang menjadi dasar penalarannya. Deskripsi IBM, dikutip secara lengkap dari advisory:

IBM Financial Transaction Manager (FTM) 4.x rentan terhadap RAG poisoning melalui upsert runbook tanpa autentikasi (CWE-74) di server agen AI FTM (api.vectordb.runbooks.js:51). Penyerang tanpa autentikasi dapat menyisipkan konten runbook berbahaya ke dalam basis data vektor agen untuk mengarahkan panggilan alat MCP yang digerakkan oleh AI, yang berpotensi memicu tindakan pembayaran tidak sah atau mengeksfiltrasi data pembayaran.

Tanggal-tanggal itu perlu dibedakan, karena catatan dan buletin tidak menggunakan tanggal yang sama. Buletin IBM mencantumkan tanggal publikasi awal 21 September 2026. Pengenal CVE dicadangkan pada 4 Agustus 2026 dan catatan CVE itu sendiri diterbitkan pada 23 September 2026 pukul 15.47 UTC; entri NVD menyusul pada pukul 16.16 UTC di hari yang sama. Arsip mencatat insiden tersebut pada 23 September 2026, hari ketika CVE menjadi publik, dengan presisi harian.

Mekanismenya: menulis ke dalam penyimpanan yang dipercaya oleh agen

Sistem generasi yang diperkaya pengambilan bekerja dengan mengambil bagian teks dari penyimpanan dan menempatkannya di depan model sebagai konteks. Nasihat IBM menempatkan fungsi "runbook upsert" di lapisan itu — operasi yang menulis entri runbook ke basis data vektor agen — dan menyatakan bahwa operasi tersebut menerima penulisan tanpa autentikasi. Jalur dalam nasihat itu, api.vectordb.runbooks.js:51, menunjuk ke layanan JavaScript, dan hanya sejauh itulah arsitektur yang diungkapkan IBM.

Hal itu menjadikannya proposisi yang berbeda dari injeksi prompt tidak langsung yang menjadi dasar sebagian besar insiden agen. Dalam kasus biasa, penyerang harus menempatkan konten di depan agen yang menjelajah atau membaca file: meracuni halaman yang akan diambil agen, dokumen yang akan dibukanya, email yang akan diringkasnya. Di sini tidak ada yang perlu diambil dari luar. Penyerang menulis pengetahuan yang telah diracuni langsung ke dalam penyimpanan yang sudah dipercaya agen, dan penyimpanan itu mengembalikannya sebagai panduan operasional yang telah diverifikasi selama alur kerja pembayaran. Redbot Security, perusahaan intelijen ancaman yang menuliskan cacat tersebut sebagai RBT-TI-0099 dan menggambarkannya sebagai injeksi prompt tidak langsung dengan eksfiltrasi data zero-click, merangkum perbedaannya dalam satu kalimat: "Konten yang diambil dapat menjadi pengaruh operasional." Arsip tersebut menandai catatan itu sebagai IPI dan INFRA untuk alasan yang sama — jalur injeksi adalah lapisan instruksi agen, dan kerentanannya ada pada infrastruktur.

Apa yang tidak dikatakan IBM sama pentingnya dengan apa yang dikatakannya. Advisory tersebut tidak menyebutkan alat MCP yang dapat dipanggil agen, tidak menyatakan operasi pembayaran mana yang dapat dijangkau oleh alat-alat itu, tidak menyatakan apakah rute upsert terekspos dalam penerapan FTM default atau hanya dalam konfigurasi tertentu, dan tidak menjelaskan model autentikasi yang seharusnya melindunginya. Dokumen itu menyebut "potentially," dan berhenti di situ.

Membaca 7.3

Vektor CVSS 3.1 adalah AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L. Jika diuraikan: dapat dijangkau melalui jaringan, kompleksitas serangan rendah, tidak memerlukan hak istimewa, tidak memerlukan interaksi pengguna — yang membuatnya serius — lalu dampak rendah terhadap kerahasiaan, integritas, dan ketersediaan, cakupan tidak berubah. Angka IBM sendiri menempatkan exploitability pada 3.9 dan dampak pada 3.4. Setiap dimensi dampak yang dinilai IBM adalah Rendah. Nilai 7.3 hampir sepenuhnya ditopang oleh mudahnya celah tersebut dijangkau, bukan oleh seberapa besar kerusakan yang diyakini IBM ditimbulkannya.

IBM adalah satu-satunya pihak yang telah memberi skor untuk itu. NVD menandai CVE-2026-18875 sebagai "Analyzed" per 7 Oktober 2026, tetapi satu-satunya metrik CVSS dalam catatannya adalah milik IBM, ditandai Secondary; NVD tidak memberikan skor primer sendiri. GitHub Advisory Database memuat deskripsi yang sama dan angka 7.3 yang sama, diterbitkan pada 23 September 2026 pukul 18:31 UTC.

Hal yang paling mendekati penilaian yang tidak ditulis IBM berasal dari blok ADP Vulnrichment milik CISA pada catatan CVE, sebuah keputusan SSVC 2.0.3 yang dicatat pada 23 September 2026 pukul 18:48 UTC: Eksploitasi: tidak ada. Dapat diotomatiskan: ya. Dampak teknis: parsial. Putusan itu menyatakan dua hal sekaligus, dan keduanya semestinya berada dalam kalimat yang sama: koordinator CISA tidak melihat adanya eksploitasi pada saat publikasi, dan menilai kerentanan tersebut dapat diotomatiskan — jenis hal yang dapat diproses oleh pemindai atau skrip, bukan serangan manual sekali jalan.

Exploit Prediction Scoring System milik FIRST menempatkan CVE-2026-18875 pada 0,00369, atau sekitar 0,37%, di persentil ke-30, dalam eksekusi model bertanggal 25 Oktober 2026. EPSS memperkirakan probabilitas eksploitasi yang teramati dalam 30 hari berikutnya; skor persentil ke-30 adalah angka yang tidak mencolok, dan itu merupakan prakiraan, bukan laporan atas apa pun yang terjadi.

Apa yang sudah mapan, dan apa yang belum

Terkonfirmasi. Kerentanan tersebut ada dan didokumentasikan dalam sumber-sumber primer yang saling sesuai: buletin IBM tanggal 21 September 2026, catatan CVE yang diterbitkan 23 September 2026, entri NVD yang telah dianalisis, dan advisory GitHub. Rentang versi yang terdampak, versi perbaikan, skor dan vektor CVSS, pemetaan CWE, serta lokasi kode identik di seluruh sumber tersebut. Jalur tulis dapat dijangkau tanpa kredensial — itu ada dalam deskripsi IBM sendiri, bukan inferensi dari skornya. Koordinator CISA mencatat tidak ada eksploitasi. Arsip memberi nilai keyakinan catatan A, tidak disengketakan, dengan kerugian nyata tercatat sebagai false.

• Kerentanannya. Operasi upsert runbook tanpa autentikasi di server agen AI FTM, pada api.vectordb.runbooks.js:51, yang memungkinkan penyerang menyisipkan konten ke dalam basis data vektor yang menjadi sumber pengambilan agen. Ini kata-kata IBM, bukan rekonstruksi.

• Konsekuensi yang diklaim IBM. Konten beracun tersebut dapat mengarahkan pemanggilan alat MCP ke tindakan pembayaran yang tidak sah atau eksfiltrasi data pembayaran. IBM menyatakan hal ini sebagai kemungkinan hasil; IBM tidak mengklaim telah mendemonstrasikannya di lingkungan pelanggan.

• Perbaikannya. FTM 4.0.11.0, dirujuk dari node dukungan IBM 7285661. Bidang Workarounds and Mitigations pada buletin menyatakan "None."

• Catatan eksploitasi. Tidak ada. Catatan SSVC CISA tertanggal 23 September 2026 mencantumkan Eksploitasi: tidak ada; angka EPSS sebesar 0,37% per 25 Oktober 2026 merupakan perkiraan, bukan observasi; tidak ada korban, transaksi, atau kerugian yang muncul dalam sumber mana pun yang ditinjau.

Belum dapat dipastikan. Siapa yang menemukan celah tersebut dan bagaimana — buletin tidak mencantumkan nama siapa pun, dan tidak ada tulisan publik dari peneliti bernama. Apakah rute yang rentan terekspos dalam penerapan default atau hanya pada konfigurasi tertentu. Apa yang sebenarnya diubah oleh 4.0.11.0: apakah rute upsert kini memerlukan autentikasi, atau dihapus, atau dipersempit dengan cara lain. Apakah ada penerapan FTM yang pernah mengekspos endpoint ke jaringan yang tidak tepercaya, dan berapa lama antara reservasi 4 Agustus dan publikasi 23 September. Dan apakah tindakan pembayaran yang diperingatkan IBM pernah dicoba di mana pun.

Rentang versi di pelacak sekunder tidak semuanya sepakat. Beberapa menampilkan rentang yang terdampak sebagai "4.0.6.0 dan sebelumnya," yang bukan merupakan apa yang diterbitkan IBM; yang lain memberikan 4.0.7.0 hingga tetapi tidak termasuk 4.0.11.0, yang cocok dengan konfigurasi yang dapat dibaca mesin dari NVD tetapi menghilangkan baris perbaikan sementara 4.0.6.0. Buletin IBM adalah rujukan utama di sini dan mencantumkan enam baris versi yang direproduksi dalam kartu di atas.

Satu hal lagi yang belum ditetapkan, karena belum ada yang mencoba memastikannya: tampaknya tidak ada organisasi berita arus utama atau laboratorium riset independen yang menerbitkan analisisnya sendiri tentang CVE-2026-18875. Satu-satunya penilaian dalam catatan publik yang tidak ditulis IBM adalah blok SSVC tiga bidang milik CISA. Per 26 Oktober 2026, cakupannya terdiri atas buletin IBM, catatan CVE, NVD, imbauan GitHub, dan serangkaian pelacak kerentanan yang mereproduksi teks IBM. Beberapa hasil pencarian tentang CVE tersebut adalah kiriman blog dengan asal-usul yang tidak jelas yang terbaca seperti dihasilkan mesin, beberapa di antaranya di situs yang juga menerbitkan widget harga mata uang kripto; tidak satu pun digunakan sebagai sumber di sini. Tidak ada laporan independen kedua tentang bug ini.

Perbaikan itu, dan celah setelahnya

Remediasi IBM hanyalah peningkatan versi dan tidak lebih dari itu: perbarui deployment FTM for Red Hat OpenShift ke 4.0.11.0, perbaikan pertama ada pada node dukungan 7285661, tanpa workaround sementara yang ditawarkan. Poin terakhir itulah yang penting secara praktis. Ketika vendor mencantumkan "None" di bagian workaround, operator yang tidak dapat beralih ke 4.0.11.0 sesuai jadwal pembayaran hanya menyisakan langkah-langkah yang tidak dituliskan vendor — membatasi siapa yang dapat menjangkau antarmuka runbook server agen, yang direkomendasikan Redbot Security dan tidak oleh IBM.

Taruhannya ditentukan oleh apa itu FTM. IBM mendeskripsikannya sebagai "hub pembayaran terpadu yang memproses, memantau, dan mengelola semua jenis pembayaran secara aman, termasuk model batch dan real-time," dengan dukungan ISO 20022 untuk memproses dan merutekan transaksi, serta produk SWIFT pendamping untuk konektivitas SWIFT tersertifikasi. Halaman produk IBM juga memasarkan FTM AI Assistant, sebuah "antarmuka percakapan agentik yang ditenagai AI generatif" yang mencakup pembayaran, persetujuan, performa sistem, dan dokumentasi. Laporan advisory tersebut menyebut "FTM AI agent server" sebagai lokasi celah keamanan dan tidak mengatakan apa pun tentang bagaimana server itu berhubungan dengan asisten di halaman pemasaran. Siapa pun yang menggambar diagram arsitektur dari kedua dokumen tersebut secara bersamaan sedang menebak-nebak.

Pelajaran desain yang diambil Redbot dari kasus ini adalah pelajaran yang tetap berlaku setelah patch: menjauhkan konten yang diambil dari jalur otoritas. Rekomendasinya adalah bahwa pembuatan, penggantian, dan penghapusan runbook memerlukan autentikasi, persetujuan, dan atribusi; bahwa runbook yang diambil tidak boleh diizinkan untuk mengotorisasi pembayaran, memperluas cakupan transaksi, atau mengizinkan transfer data eksternal dengan sendirinya; dan bahwa layanan pembayaran yang terhubung menegakkan izinnya sendiri terlepas dari bagaimana agen menafsirkan apa yang diambilnya. Itu adalah rekomendasi firma intelijen ancaman, bukan komitmen IBM, dan buletin IBM tidak memuat satu pun dari rekomendasi tersebut.

Mengapa arsip menyebutnya sedang

Catatan dan skor CVSS menjawab pertanyaan yang berbeda, dan selisih di antara keduanya adalah ringkasan jujur dari kasus ini. Skor 7.3 dari IBM adalah skor kategori HIGH untuk cacat yang sangat mudah dijangkau. Arsip mencatat entri itu sebagai kerentanan, bukan insiden, dengan keparahan medium, kerugian nyata false, keyakinan A, dan tanpa tanda sengketa, bertanggal tepat 23 September 2026 dan dicatat dengan field wilayah global. Field-field itu menggambarkan apa yang terjadi, dan yang terjadi adalah tidak ada apa-apa.

Kombinasi itulah inti dari entri ini. Agen pembayaran yang membaca dari penyimpanan yang dapat ditulis oleh siapa saja adalah pekerjaan rekayasa yang serius, dan hal itu diperbaiki dalam peningkatan versi sebelum ada yang diketahui telah menggunakannya. Kedua bagian itu benar, dan catatan menjaga keduanya tetap terpisah alih-alih membiarkan skor atau kesunyian menjadi satu-satunya yang berbicara.