IBM's Payment Agent accepteerde ongeauthenticeerde Runbook-schrijfacties — CVE-2026-18875

IBM heeft een lek bekendgemaakt in de AI-agentserver van zijn betalingsplatform, IBM Financial Transaction Manager: een aanroeper zonder inloggegevens kon een runbook naar keuze schrijven in de vectordatabase waaruit de agent gegevens ophaalt, en de Model Context Protocol-toolaanroepen van de agent zelf konden vervolgens worden gestuurd door wat deze had gelezen. IBM's beveiligingsbulletin, gepubliceerd op 21 september 2026, stelt dat het lek kan leiden tot "ongeautoriseerde betalingsacties of het exfiltreren van betalingsgegevens." De CVE, CVE-2026-18875, werd op 23 september 2026 gepubliceerd met een CVSS 3.1-basisscore van 7,3, toegewezen aan CWE-74, en is te vinden op api.vectordb.runbooks.js:51. Er is geen misbruik in het wild geregistreerd, en er is geen klant-, betalings- of gegevensverlies aan toegeschreven. Dit verslag is gebaseerd op één vermelding in het Orca AI Incident Archive, dat CVE-2026-18875 registreert als een kwetsbaarheid met gemiddelde ernst zonder geregistreerde schade en het naast de andere gedocumenteerde agentincidenten plaatst.

Eén CVE in een bulletin met zevenenveertig CVE's

IBM's advies voor deze kwetsbaarheid is geen afzonderlijke kennisgeving. Het is één vermelding in Beveiligingsbulletin: IBM Financial Transaction Manager (FTM) wordt getroffen door meerdere kwetsbaarheden, document UID ibm17288641, waarvan de tabellen met getroffen producten en herstelmaatregelen elke CVE in de batch bestrijken. De pagina bevat 47 afzonderlijke CVE-identificaties, door IBM gescoord van 3.7 tot 9.9, en de wijzigingsgeschiedenis bevat precies één regel: "21 sep 2026: Eerste publicatie." Het bulletin is na verschijning niet herzien, en het gedeelte met dankbetuigingen is leeg — IBM noemt geen enkele onderzoeker, melder of klant als bron voor een van de 47 bevindingen.

De RAG-vermelding is de uitschieter in die lijst. De meeste naburige CVE-beschrijvingen lezen als gewone middleware-hygiëne: hardgecodeerde cryptografische sleutels, path traversal, XML external entity-verwerking, onveilige deserialisatie, een ontbrekende autorisatiecontrole waarvan IBM zegt dat die "een externe aanvaller in staat zou kunnen stellen ongeoorloofde betalingsacties uit te voeren." CVE-2026-18875 is de enige die een defect beschrijft in de manier waarop de AI-agent van het product de gegevens verkrijgt waarop hij redeneert. IBM's beschrijving, volledig geciteerd uit het securityadvies:

IBM Financial Transaction Manager (FTM) 4.x is kwetsbaar voor RAG-poisoning via ongeauthenticeerde runbook-upsert (CWE-74) in de FTM AI-agent-server (api.vectordb.runbooks.js:51). Een ongeauthenticeerde aanvaller kan kwaadaardige runbook-inhoud in de vectordatabase van de agent invoegen om door AI aangestuurde MCP-tool-aanroepen bij te sturen, waardoor mogelijk ongeoorloofde betalingsacties worden geactiveerd of betalingsgegevens worden geëxfiltreerd.

De data zijn de moeite waard om uit elkaar te houden, omdat het record en het bulletin niet dezelfde gebruiken. Het bulletin van IBM vermeldt een initiële publicatiedatum van 21 september 2026. De CVE-identificatiecode werd gereserveerd op 4 augustus 2026 en het CVE-record zelf werd gepubliceerd op 23 september 2026 om 15:47 UTC; de vermelding van NVD volgde om 16:16 UTC diezelfde dag. Het archief registreert het incident op 23 september 2026, de dag waarop de CVE openbaar werd, met dagprecisie.

Het mechanisme: schrijven naar de opslag die de agent vertrouwt

Een retrieval-augmented generation-systeem werkt door passages uit een opslag op te halen en deze als context voor het model te plaatsen. IBM's advies plaatst een functie voor een "runbook upsert" in die laag — een bewerking die een runbook-item naar de vectordatabase van de agent schrijft — en stelt dat de bewerking de schrijfactie zonder authenticatie accepteerde. Het pad in het advies, api.vectordb.runbooks.js:51, wijst naar een JavaScript-service, en dat is alles wat IBM aan architectuur bekendmaakt.

Dat maakt dit een andere kwestie dan de indirecte promptinjectie waarop de meeste agentincidenten draaien. In het gebruikelijke geval moet een aanvaller inhoud voor een agent zien te krijgen die browset of bestanden leest: een pagina vergiftigen die de agent ophaalt, een document dat hij opent, een e-mail die hij samenvat. Hier hoeft niets van buitenaf te worden opgehaald. De aanvaller schrijft de vergiftigde kennis rechtstreeks in de opslag die de agent al vertrouwt, en de opslag geeft die tijdens een betalingsworkflow terug als gevalideerde operationele richtlijnen. Redbot Security, een bedrijf voor dreigingsinlichtingen dat de fout als RBT-TI-0099 uitwerkte en het presenteert als indirecte promptinjectie met zero-click data-exfiltratie, vat het onderscheid in één regel samen: "Opgehaalde inhoud kan een operationele invloed worden." Het archief kent het record de tags IPI en INFRA toe om dezelfde reden — het injectiepad is de instructielaag van de agent, en de kwetsbaarheid zit in de infrastructuur.

Wat IBM niet zegt, is even belangrijk als wat het wel zegt. In de advisory worden de MCP-tools die de agent kan aanroepen niet bij naam genoemd, wordt niet gezegd welke betalingsoperaties ze bereiken, wordt niet gezegd of de upsert-route wordt blootgesteld in een standaard FTM-implementatie of alleen in bepaalde configuraties, en wordt het authenticatiemodel dat haar had moeten beschermen niet beschreven. Er staat "potentieel", en daar houdt het op.

Een 7,3 lezen

De CVSS 3.1-vector is AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L. Uitgesplitst: bereikbaar via het netwerk, lage aanvalscomplexiteit, geen privileges vereist, geen gebruikersinteractie — dat is wat het ernstig maakt — en dan lage impact op vertrouwelijkheid, lage impact op integriteit en lage impact op beschikbaarheid, scope ongewijzigd. De eigen cijfers van IBM zetten de exploiteerbaarheid op 3.9 en de impact op 3.4. Elke impactdimensie die IBM heeft beoordeeld, is Laag. De 7.3 wordt bijna volledig gedragen door hoe gemakkelijk de kwetsbaarheid te bereiken is, niet door hoeveel schade IBM denkt dat deze aanricht.

IBM is de enige partij die er een score aan heeft toegekend. NVD markeert CVE-2026-18875 per 7 oktober 2026 als "Analyzed", maar de enige CVSS-metriek in het record is die van IBM, getagd als Secondary; NVD leverde geen eigen primaire score. De GitHub Advisory Database bevat dezelfde beschrijving en dezelfde 7.3, gepubliceerd op 23 september 2026 om 18:31 UTC.

Het dichtst bij een beoordeling die IBM niet heeft geschreven, komt van CISA's ADP Vulnrichment-blok op het CVE-record, een SSVC 2.0.3-beslissing vastgelegd op 23 september 2026 om 18:48 UTC: Exploitatie: geen. Automatiseerbaar: ja. Technische impact: gedeeltelijk. Dat oordeel zegt tegelijkertijd twee dingen, en beide horen in dezelfde zin: de coördinator van CISA zag op het moment van publicatie geen exploitatie, en beschouwde de kwetsbaarheid als automatiseerbaar — het soort ding dat een scanner of een script kan doorwerken in plaats van een eenmalige handmatige aanval.

Het Exploit Prediction Scoring System van FIRST plaatste CVE-2026-18875 op 0,00369, oftewel ongeveer 0,37%, in het 30e percentiel, in de modelrun van 25 oktober 2026. EPSS schat de kans op waargenomen exploitatie in de komende 30 dagen; een score in het 30e percentiel is een onopvallend getal, en het is een voorspelling, geen verslag van iets dat is gebeurd.

Wat is vastgesteld, en wat niet

Vastgesteld. De kwetsbaarheid bestaat en is gedocumenteerd in primaire bronnen die met elkaar overeenstemmen: IBM's bulletin van 21 september 2026, het CVE-record gepubliceerd op 23 september 2026, NVD's geanalyseerde vermelding en GitHub's advies. Het bereik van getroffen versies, de fixversie, de CVSS-score en -vector, de CWE-toewijzing en de codelocatie zijn in alle bronnen identiek. Het schrijfpad was bereikbaar zonder inloggegevens — dat staat in IBM's eigen beschrijving, niet als een gevolgtrekking uit de score. CISA's coördinator heeft geen exploitatie geregistreerd. Het archief kent het record betrouwbaarheid A toe, niet betwist, waarbij werkelijke schade als onwaar is geregistreerd.

• De kwetsbaarheid. Een ongeauthenticeerde runbook-upsert in de FTM AI-agent-server, op api.vectordb.runbooks.js:51, waardoor een aanvaller inhoud kon invoegen in de vectordatabase waaruit de agent gegevens ophaalt. IBM's bewoording, geen reconstructie.

• De consequentie die IBM claimt. Dat vergiftigde content MCP-toolaanroepen zou kunnen sturen richting ongeautoriseerde betalingsacties of exfiltratie van betalingsgegevens. IBM stelt dit als een mogelijk gevolg; het claimt niet dat het dit in een klantomgeving heeft aangetoond.

• De oplossing. FTM 4.0.11.0, waarnaar wordt verwezen in IBM-supportnode 7285661. Het veld Workarounds and Mitigations van het bulletin luidt: "Geen".

• Het exploitatiedossier. Geen. Het SSVC-record van CISA van 23 september 2026 vermeldt Exploitatie: geen; het EPSS-cijfer van 0,37% per 25 oktober 2026 is een prognose, geen waarneming; in geen enkele geraadpleegde bron komt een slachtoffer, transactie of verlies voor.

Niet vastgesteld. Wie de fout heeft gevonden en hoe — het bulletin noemt niemand, en er is geen openbare beschrijving van een genoemde onderzoeker. Of de kwetsbare route wordt blootgesteld in een standaardimplementatie of alleen onder een specifieke configuratie. Wat 4.0.11.0 daadwerkelijk verandert: of de upsert-route nu authenticatie vereist, of is verwijderd, of op een andere manier is beperkt. Of een FTM-implementatie het endpoint ooit aan een niet-vertrouwd netwerk heeft blootgesteld, en hoe lang tussen de reservering op 4 augustus en de publicatie op 23 september. En of de betalingsacties waar IBM voor waarschuwt ergens ooit zijn geprobeerd.

De versiebereiken in secundaire trackers komen niet allemaal overeen. Sommige geven het getroffen bereik weer als "4.0.6.0 en eerder", wat niet is wat IBM heeft gepubliceerd; andere geven 4.0.7.0 tot maar niet inclusief 4.0.11.0, wat overeenkomt met NVD's machineleesbare configuratie maar de interim-fixregel voor 4.0.6.0 weglaat. Het bulletin van IBM is hier de autoriteit en vermeldt de zes versieregels die in de kaart hierboven zijn weergegeven.

Nog één ding dat niet is vastgesteld, omdat niemand heeft geprobeerd het vast te stellen: het lijkt erop dat geen enkele reguliere nieuwsorganisatie of onafhankelijk onderzoekslab een eigen analyse van CVE-2026-18875 heeft gepubliceerd. De enige beoordeling in het openbare domein die niet door IBM is geschreven, is het SSVC-blok met drie velden van CISA. Met ingang van 26 oktober 2026 bestaat de berichtgeving uit IBM's bulletin, het CVE-record, NVD, GitHub's advisory en een reeks kwetsbaarheidstrackers die IBM's tekst reproduceren. Verschillende zoekresultaten over de CVE zijn blogposts van onduidelijke herkomst die machinegegenereerd lezen, sommige ervan op sites die ook widgets voor cryptovalutaprijzen publiceren; geen ervan is hier als bron gebruikt. Er is geen tweede, onafhankelijke beschrijving van deze bug.

De oplossing, en het gat erna

IBM's herstelmaatregel is een versie-upgrade en niets anders: werk FTM for Red Hat OpenShift-implementaties bij naar 4.0.11.0, eerste oplossing bij support node 7285661, zonder dat er een tussentijdse workaround wordt geboden. Dat laatste punt is in de praktijk het belangrijkste. Wanneer een leverancier "None" publiceert onder workarounds, heeft een operator die niet volgens de betalingsplanning naar 4.0.11.0 kan overstappen, alleen nog de maatregelen die de leverancier niet heeft opgeschreven: beperken wie de runbookinterfaces van de agentserver kan bereiken, wat Redbot Security aanbeveelt en IBM niet.

De inzet wordt bepaald door wat FTM is. IBM beschrijft het als "een uniforme betalingshub die alle betalingstypen, waaronder batch- en realtime-modellen, veilig verwerkt, monitort en beheert," met ISO 20022-ondersteuning voor het verwerken en routeren van transacties, en een bijbehorend SWIFT-product voor gecertificeerde SWIFT-connectiviteit. IBM's productpagina promoot ook een FTM AI Assistant, een "agentische, door generatieve AI aangedreven conversationele interface" voor betalingen, goedkeuringen, systeemprestaties en documentatie. Het advies noemt een "FTM AI agent server" als de locatie van de kwetsbaarheid en zegt niets over hoe die server zich verhoudt tot de assistent op de marketingpagina. Iedereen die uit de twee documenten samen een architectuurdiagram tekent, gokt.

De ontwerples die Redbot uit de casus trekt, is degene die de patch overleeft: houd opgehaalde inhoud buiten het autorisatiepad. Haar aanbevelingen zijn dat het aanmaken, vervangen en verwijderen van runbooks authenticatie, goedkeuring en toeschrijving vereist; dat opgehaalde runbooks nooit op eigen gezag betalingen mogen autoriseren, de transactieomvang mogen verruimen of externe gegevensoverdracht mogen toestaan; en dat de aangesloten betaaldiensten hun eigen machtigingen afdwingen, ongeacht hoe de agent interpreteert wat hij heeft opgehaald. Dat zijn aanbevelingen van een dreigingsinlichtingenbedrijf, niet de toezeggingen van IBM, en IBM's bulletin bevat geen van deze aanbevelingen.

Waarom het archief het medium noemt

Het record en de CVSS-score beantwoorden verschillende vragen, en de kloof daartussen is de eerlijke samenvatting van deze zaak. IBM's 7.3 is een score in de HIGH-band voor een kwetsbaarheid die triviaal bereikbaar is. Het archief registreert de vermelding als een kwetsbaarheid in plaats van een incident, met ernst medium, reële schade false, betrouwbaarheid A en geen betwistingsmarkering, gedateerd op 23 september 2026 tot op de dag nauwkeurig en ingediend met een globaal regio-veld. Die velden beschrijven wat er is gebeurd, en wat er is gebeurd is niets.

Die combinatie is nu juist de kern van de vermelding. Een betaalagent die las uit een opslag waarnaar iedereen kon schrijven, is een serieuze technische prestatie, en het probleem werd verholpen in een versie-upgrade voordat bekend is dat iemand er gebruik van heeft gemaakt. Beide helften zijn waar, en het verslag houdt ze gescheiden in plaats van de score of de stilte alleen het woord te laten doen.