L'agente di pagamento di IBM accettava scritture di runbook non autenticate — CVE-2026-18875

IBM ha reso nota una vulnerabilità nel server dell'agente AI della propria piattaforma di pagamenti, IBM Financial Transaction Manager: un chiamante privo di credenziali poteva scrivere un runbook di propria scelta nel database vettoriale da cui l'agente recupera i dati, e le chiamate agli strumenti del Model Context Protocol dell'agente stesso potevano poi essere indirizzate da ciò che leggeva. Il bollettino di sicurezza di IBM, pubblicato il 21 settembre 2026, afferma che la vulnerabilità potrebbe portare a "azioni di pagamento non autorizzate o all'esfiltrazione di dati di pagamento". La CVE, CVE-2026-18875, è stata pubblicata il 23 settembre 2026 con un punteggio base CVSS 3.1 di 7,3, mappata su CWE-74 e individuata in api.vectordb.runbooks.js:51. Non è stato registrato alcun sfruttamento in the wild e nessuna perdita di clienti, pagamenti o dati è stata attribuita alla vulnerabilità. Questo resoconto è tratto da una singola voce in the Orca AI Incident Archive, che registra CVE-2026-18875 come vulnerabilità di gravità media senza danni registrati e la colloca accanto agli altri incidenti documentati riguardanti agenti.

Un CVE all'interno di un bollettino contenente quarantasette CVE

L'avviso di IBM per questa vulnerabilità non è un documento autonomo. È una singola voce in Bollettino sulla sicurezza: IBM Financial Transaction Manager (FTM) è interessato da vulnerabilità multiple, documento UID ibm17288641, le cui tabelle dei prodotti interessati e delle misure correttive coprono ogni CVE del lotto. La pagina riporta 47 identificatori CVE distinti, con punteggi assegnati da IBM compresi tra 3,7 e 9,9, e la sua cronologia delle modifiche contiene esattamente una riga: "21 Sep 2026: Pubblicazione iniziale." Il bollettino non è stato revisionato dopo la pubblicazione e la sua sezione Riconoscimenti è vuota: IBM non attribuisce alcun riconoscimento a ricercatori, segnalatori o clienti per nessuna delle 47 vulnerabilità rilevate.

La voce RAG è l'eccezione in quell'elenco. La maggior parte delle descrizioni CVE vicine si legge come normale igiene del middleware: chiavi crittografiche codificate in modo fisso, path traversal, gestione delle entità esterne XML, deserializzazione non sicura, un controllo di autorizzazione mancante che, secondo IBM, "potrebbe consentire a un attaccante remoto di eseguire azioni di pagamento non autorizzate". CVE-2026-18875 è l'unica che descrive un difetto nel modo in cui l'agente AI del prodotto acquisisce il materiale su cui ragiona. La descrizione di IBM, citata integralmente dall'avviso:

"IBM Financial Transaction Manager (FTM) 4.x è vulnerabile all'avvelenamento da RAG tramite upsert non autenticato di runbook (CWE-74) nel server dell'agente AI di FTM (api.vectordb.runbooks.js:51). Un attaccante non autenticato può inserire contenuti malevoli di runbook nel database vettoriale dell'agente per orientare le chiamate agli strumenti MCP guidate dall'AI, potenzialmente innescando azioni di pagamento non autorizzate o esfiltrare dati di pagamento."

Le date vanno tenute distinte, perché il record e il bollettino non usano la stessa. Il bollettino IBM riporta una data di pubblicazione iniziale del 21 settembre 2026. L'identificatore CVE è stato riservato il 4 agosto 2026 e il record CVE stesso è stato pubblicato il 23 settembre 2026 alle 15:47 UTC; la voce NVD è seguita alle 16:16 UTC dello stesso giorno. L'archivio colloca l'incidente al 23 settembre 2026, il giorno in cui il CVE è diventato pubblico, con precisione al giorno.

Il meccanismo: scrivere nello store di cui l’agente si fida

Un sistema di generazione aumentata dal recupero funziona recuperando passaggi da un archivio e mettendoli davanti al modello come contesto. L'avviso di IBM colloca una funzione "runbook upsert" in quello strato — un'operazione che scrive una voce di runbook nel database vettoriale dell'agente — e afferma che l'operazione ha accettato la scrittura senza autenticazione. Il percorso nell'avviso, api.vectordb.runbooks.js:51, punta a un servizio JavaScript, che è tutta l'architettura che IBM divulga.

Ciò rende questa una questione diversa dall'iniezione di prompt indiretta su cui si basano la maggior parte degli incidenti che coinvolgono agenti. Nel caso ordinario un attaccante deve far arrivare contenuti davanti a un agente che naviga il web o legge file: avvelenare una pagina che l'agente recupererà, un documento che aprirà, un'email che riassumerà. Qui non occorre recuperare nulla dall'esterno. L'attaccante scrive la conoscenza avvelenata direttamente nell'archivio di cui l'agente si fida già, e l'archivio la restituisce come guida operativa verificata durante un flusso di lavoro di pagamento. Redbot Security, un'azienda di threat intelligence che ha documentato la falla come RBT-TI-0099 e la inquadra come iniezione di prompt indiretta con esfiltrazione dati zero-click, riassume la distinzione in una riga: "Il contenuto recuperato può diventare un'influenza operativa." L'archivio classifica il record come IPI e INFRA per lo stesso motivo: il percorso di iniezione è il livello di istruzioni dell'agente e la vulnerabilità risiede nell'infrastruttura.

Ciò che IBM non dice conta tanto quanto ciò che dice. L’avviso non nomina gli strumenti MCP che l’agente può chiamare, non dice a quali operazioni di pagamento accedono, non dice se la rotta upsert è esposta in una distribuzione FTM predefinita o solo in configurazioni particolari, e non descrive il modello di autenticazione che avrebbe dovuto proteggerla. Dice «potenzialmente», e si ferma lì.

Lettura di un 7.3

Il vettore CVSS 3.1 è AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L. Scomposto: raggiungibile tramite rete, bassa complessità di attacco, nessun privilegio richiesto, nessuna interazione utente — ed è questo che lo rende grave — e poi basso impatto su riservatezza, basso su integrità e basso su disponibilità, scope invariato. I numeri stessi di IBM collocano l'exploitability a 3.9 e l'impatto a 3.4. Ogni dimensione di impatto valutata da IBM è Bassa. Il 7.3 è determinato quasi interamente dalla facilità con cui la vulnerabilità è raggiungibile, non da quanto danno IBM ritenga che provochi.

IBM è l'unica parte che lo ha valutato. NVD classifica CVE-2026-18875 come "Analyzed" a partire dal 7 ottobre 2026, ma l'unica metrica CVSS presente nel suo record è quella di IBM, contrassegnata come Secondary; NVD non ha fornito alcun punteggio primario proprio. GitHub's Advisory Database riporta la stessa descrizione e lo stesso 7.3, pubblicati il 23 settembre 2026 alle 18:31 UTC.

La cosa più vicina a una valutazione che IBM non ha scritto proviene dal blocco ADP Vulnrichment di CISA sul record CVE, una decisione SSVC 2.0.3 registrata il 23 settembre 2026 alle 18:48 UTC: Sfruttamento: nessuno. Automatizzabile: sì. Impatto tecnico: parziale. Quel verdetto dice due cose contemporaneamente, ed entrambe appartengono alla stessa frase: il coordinatore di CISA non ha rilevato alcuno sfruttamento al momento della pubblicazione, e ha considerato la vulnerabilità automatizzabile — il tipo di cosa che uno scanner o uno script potrebbe portare a termine anziché un attacco manuale isolato.

Il sistema di punteggio per la previsione degli exploit di FIRST ha assegnato a CVE-2026-18875 un valore di 0,00369, ovvero circa lo 0,37%, nel trentesimo percentile, nell'esecuzione del modello datata 25 ottobre 2026. EPSS stima la probabilità di sfruttamento osservato nei successivi 30 giorni; un punteggio al trentesimo percentile è un dato basso, e si tratta di una previsione, non del resoconto di qualcosa che è accaduto.

Che cosa è stabilito e che cosa non lo è

Accertato. La vulnerabilità esiste ed è documentata in fonti primarie concordanti tra loro: il bollettino IBM del 21 settembre 2026, il record CVE pubblicato il 23 settembre 2026, la voce analizzata di NVD e l'avviso di GitHub. L'intervallo di versioni interessate, la versione correttiva, il punteggio e il vettore CVSS, la mappatura CWE e la posizione nel codice sono identici tra esse. Il percorso di scrittura era raggiungibile senza credenziali — questo è nella descrizione stessa di IBM, non un'inferenza dal punteggio. Il coordinatore CISA non ha registrato alcuno sfruttamento. L'archivio assegna al record una confidenza A, non contestato, con danno reale registrato come falso.

• Il difetto. Un upsert di runbook non autenticato nel server dell'agente FTM AI, in api.vectordb.runbooks.js:51, che consentiva a un attaccante di inserire contenuto nel database vettoriale da cui l'agente recupera. È la formulazione di IBM, non una ricostruzione.

• La conseguenza che IBM dichiara. Che contenuti avvelenati potrebbero indirizzare le chiamate agli strumenti MCP verso azioni di pagamento non autorizzate o l'esfiltrazione di dati di pagamento. IBM lo presenta come un esito potenziale; non afferma di averlo dimostrato in un ambiente cliente.

• La correzione. FTM 4.0.11.0, a cui si fa riferimento dal nodo di supporto IBM 7285661. Il campo Workarounds and Mitigations del bollettino riporta "Nessuna".

• Il registro dello sfruttamento. Nessuno. Il record SSVC di CISA del 23 settembre 2026 riporta Sfruttamento: nessuno; il valore EPSS dello 0,37% al 25 ottobre 2026 è una previsione, non un'osservazione; nessuna vittima, transazione o perdita compare in alcuna fonte esaminata.

Non stabilito. Chi ha trovato la vulnerabilità e come — il bollettino non accredita nessuno, e non esiste una descrizione pubblica di un ricercatore nominato. Se la rotta vulnerabile sia esposta in una distribuzione predefinita o solo con una configurazione specifica. Cosa cambia effettivamente la 4.0.11.0: se la rotta upsert ora richieda l'autenticazione, oppure sia stata rimossa, oppure sia stata limitata in qualche altro modo. Se qualche distribuzione FTM abbia mai esposto l'endpoint a una rete non attendibile, e per quanto tempo tra la prenotazione del 4 agosto e la pubblicazione del 23 settembre. E se le azioni di pagamento di cui IBM avverte siano mai state tentate da qualche parte.

Gli intervalli di versione nei tracker secondari non concordano tutti. Alcuni rappresentano l'intervallo interessato come "4.0.6.0 e precedenti", che non è quanto pubblicato da IBM; altri indicano da 4.0.7.0 fino a 4.0.11.0 esclusa, che corrisponde alla configurazione leggibile da macchina di NVD ma omette la linea di correzione provvisoria 4.0.6.0. Il bollettino IBM è la fonte autorevole in questo caso ed elenca le sei linee di versione riprodotte nella scheda sopra.

Un'altra cosa che non è stabilita, perché nessuno ha provato a stabilirla: nessuna organizzazione giornalistica mainstream né laboratorio di ricerca indipendente sembra aver pubblicato una propria analisi di CVE-2026-18875. L'unica valutazione agli atti pubblici che IBM non ha scritto è il blocco SSVC a tre campi della CISA. Al 26 ottobre 2026 la copertura consiste nel bollettino di IBM, nel record CVE, in NVD, nell'advisory di GitHub e in una serie di tracker di vulnerabilità che riproducono il testo di IBM. Diversi risultati di ricerca sul CVE sono post di blog di provenienza incerta che sembrano generati automaticamente, alcuni dei quali su siti che pubblicano anche widget per i prezzi delle criptovalute; nessuno di essi è stato usato come fonte qui. Non esiste un secondo resoconto indipendente di questo bug.

La correzione, e il divario che ne segue

La remediation di IBM è un aggiornamento di versione e nient'altro: aggiornare le distribuzioni FTM for Red Hat OpenShift alla 4.0.11.0, prima correzione al nodo di supporto 7285661, senza alcuna soluzione alternativa temporanea offerta. Quest'ultimo punto è quello praticamente importante. Quando un fornitore pubblica "None" alla voce soluzioni alternative, un operatore che non può passare alla 4.0.11.0 secondo la pianificazione dei pagamenti resta con solo le misure che il fornitore non ha messo per iscritto — limitare chi può raggiungere le interfacce runbook del server agente, cosa che Redbot Security consiglia e IBM no.

La posta in gioco dipende da che cos'è FTM. IBM lo descrive come "un hub unificato per i pagamenti che elabora, monitora e gestisce in modo sicuro tutti i tipi di pagamento, inclusi i modelli batch e in tempo reale," con supporto ISO 20022 per l'elaborazione e l'instradamento delle transazioni, e un prodotto SWIFT complementare per una connettività SWIFT certificata. La pagina prodotto di IBM promuove anche un FTM AI Assistant, presentato come "interfaccia conversazionale agentica basata su AI generativa" che copre pagamenti, approvazioni, prestazioni del sistema e documentazione. L'avviso indica un "FTM AI agent server" come sede della vulnerabilità e non dice nulla su come tale server sia correlato all'assistente presente nella pagina di marketing. Chiunque tracci un diagramma architetturale mettendo insieme i due documenti sta tirando a indovinare.

La lezione di progettazione che Redbot trae dal caso è quella che sopravvive alla patch: tenere il contenuto recuperato fuori dal percorso dell’autorità. Le sue raccomandazioni sono che la creazione, la sostituzione e l’eliminazione dei runbook richiedano autenticazione, approvazione e attribuzione; che ai runbook recuperati non sia mai consentito autorizzare pagamenti, ampliare l’ambito delle transazioni o permettere trasferimenti di dati esterni autonomamente; e che i servizi di pagamento connessi applichino le proprie autorizzazioni indipendentemente da come l’agente interpreta ciò che ha recuperato. Quelli sono raccomandazioni di un’azienda di threat intelligence, non impegni di IBM, e il bollettino di IBM non ne formula nessuna.

Perché l'archivio lo chiama medium

Il record e il punteggio CVSS rispondono a domande diverse, e il divario tra loro è il riassunto onesto di questo caso. Il 7.3 di IBM è un punteggio nella fascia HIGH per una falla banalmente raggiungibile. L'archivio registra la voce come vulnerabilità anziché come incidente, con gravità media, real harm false, confidenza A e nessun flag di disputa, datata 23 settembre 2026 al giorno esatto e archiviata con un campo regione globale. Quei campi descrivono ciò che è accaduto, e ciò che è accaduto è nulla.

Quella combinazione è il punto della voce. Un agente di pagamento che leggeva da un archivio su cui chiunque poteva scrivere è un serio pezzo di ingegneria, ed è stato corretto in un aggiornamento di versione prima che si sappia che qualcuno lo abbia usato. Entrambe le metà sono vere, e il resoconto le tiene distinte invece di lasciare che sia il punteggio o il silenzio a parlare da solo.