Agent płatności IBM akceptował nieuwierzytelnione zapisy runbooków — CVE-2026-18875

IBM ujawnił lukę w serwerze agenta AI swojej platformy płatności, IBM Financial Transaction Manager: osoba wywołująca bez żadnych poświadczeń mogła zapisać wybrany przez siebie runbook w bazie danych wektorowych, z której agent pobiera dane, a następnie wywołania narzędzi Model Context Protocol samego agenta mogły być sterowane tym, co odczytał. Biuletyn bezpieczeństwa IBM, opublikowany 21 września 2026 r., stwierdza, że luka mogła prowadzić do „nieautoryzowanych działań płatniczych lub eksfiltracji danych płatniczych” CVE, CVE-2026-18875, opublikowano 23 września 2026 r. z bazową oceną CVSS 3.1 wynoszącą 7.3, przypisano do CWE-74 i zlokalizowano w api.vectordb.runbooks.js:51. Nie odnotowano wykorzystania luki w rzeczywistych atakach ani żadnych strat klientów, płatności czy danych, które można by jej przypisać. Niniejszy opis pochodzi z jednego wpisu w the Orca AI Incident Archive, który rejestruje CVE-2026-18875 jako lukę o średnim stopniu ważności bez odnotowanych szkód i umieszcza ją obok innych udokumentowanych incydentów z agentami.

Jedno CVE w biuletynie obejmującym czterdzieści siedem CVE

Komunikat doradczy IBM dotyczący tej luki nie jest odrębnym komunikatem. Jest to pojedynczy wpis w Biuletynie bezpieczeństwa: IBM Financial Transaction Manager (FTM) został dotknięty wieloma lukami w zabezpieczeniach, dokument UID ibm17288641, którego tabele produktów, których dotyczy problem, i środków zaradczych obejmują każdy identyfikator CVE z tej partii. Strona zawiera 47 różnych identyfikatorów CVE, z ocenami IBM od 3,7 do 9,9, a jej historia zmian zawiera dokładnie jedną pozycję: "21 września 2026: Publikacja początkowa." Biuletyn nie został zmieniony po opublikowaniu, a jego sekcja podziękowań jest pusta — IBM nie przyznaje zasług żadnemu badaczowi, osobie zgłaszającej ani klientowi za żadne z 47 ustaleń.

Wpis dotyczący RAG jest wyjątkiem na tej liście. Większość sąsiednich opisów CVE przypomina zwykłą higienę oprogramowania pośredniczącego: zaszyte na stałe klucze kryptograficzne, path traversal, obsługa zewnętrznych encji XML, niebezpieczna deserializacja, brakująca kontrola autoryzacji, o której IBM mówi, że „mogłaby pozwolić zdalnemu atakującemu na wykonywanie nieautoryzowanych działań płatniczych”. CVE-2026-18875 to jedyny wpis opisujący defekt w sposobie, w jaki agent AI produktu pozyskuje materiał, na podstawie którego prowadzi rozumowanie. Opis IBM, przytoczony w całości z biuletynu:

IBM Financial Transaction Manager (FTM) 4.x jest podatny na zatruwanie RAG poprzez nieuwierzytelniony upsert runbooka (CWE-74) w serwerze agenta AI FTM (api.vectordb.runbooks.js:51). Nieuwierzytelniony atakujący może wstawić złośliwą treść runbooka do bazy danych wektorowych agenta, aby sterować wywołaniami narzędzi MCP opartymi na AI, potencjalnie wywołując nieautoryzowane działania płatnicze lub eksfiltrując dane płatnicze.

Warto rozdzielić te daty, ponieważ rekord i biuletyn nie posługują się tą samą. Biuletyn IBM-a podaje początkową datę publikacji: 21 września 2026 r. Identyfikator CVE zarezerwowano 4 sierpnia 2026 r., a sam rekord CVE opublikowano 23 września 2026 r. o 15:47 UTC; wpis NVD pojawił się o 16:16 UTC tego samego dnia. Archiwum klasyfikuje zdarzenie na 23 września 2026 r., czyli dzień, w którym CVE stało się publiczne, z dokładnością do dnia.

Mechanizm: zapisywanie do magazynu, któremu agent ufa

System generowania wspomaganego wyszukiwaniem działa przez pobieranie fragmentów z magazynu i umieszczanie ich przed modelem jako kontekstu. Komunikat doradczy IBM umieszcza w tej warstwie funkcję „runbook upsert” — operację, która zapisuje wpis runbooka w wektorowej bazie danych agenta — i stwierdza, że operacja przyjęła zapis bez uwierzytelniania. Ścieżka podana w komunikacie, api.vectordb.runbooks.js:51, wskazuje na usługę JavaScript, co stanowi całą architekturę, jaką IBM ujawnia.

To sprawia, że jest to inna sytuacja niż w przypadku pośredniego wstrzykiwania promptów, na którym opiera się większość incydentów z agentami. W zwykłym przypadku atakujący musi doprowadzić treść przed agenta przeglądającego lub czytającego pliki: zatruć stronę, którą agent pobierze, dokument, który otworzy, e-mail, który podsumuje. Tutaj nic nie musi być pobierane z zewnątrz. Atakujący zapisuje zatrutą wiedzę bezpośrednio do magazynu, któremu agent już ufa, a magazyn zwraca ją jako zweryfikowane wskazówki operacyjne podczas przepływu pracy płatności. Redbot Security, firma zajmująca się analizą zagrożeń, która opisała tę lukę jako RBT-TI-0099 i określa ją jako pośrednie wstrzykiwanie promptów z eksfiltracją danych bez kliknięcia, ujmuje tę różnicę w jednym zdaniu: "Pobrana treść może stać się operacyjnym wpływem." Archiwum oznacza ten rekord tagami IPI i INFRA z tego samego powodu — ścieżka wstrzyknięcia to warstwa instrukcji agenta, a luka znajduje się w infrastrukturze.

To, czego IBM nie mówi, ma takie samo znaczenie jak to, co mówi. Komunikat doradczy nie wymienia narzędzi MCP, które agent może wywoływać, nie mówi, do jakich operacji płatniczych mają one dostęp, nie wskazuje, czy ścieżka upsert jest udostępniona w domyślnym wdrożeniu FTM, czy tylko w określonych konfiguracjach, i nie opisuje modelu uwierzytelniania, który miał ją chronić. Mówi „potencjalnie” i na tym się kończy.

Odczytywanie 7,3

Wektor CVSS 3.1 to AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L. Po rozwinięciu: osiągalna przez sieć, niska złożoność ataku, brak wymaganych uprawnień, brak interakcji użytkownika — i to właśnie czyni ją poważną — a następnie niski wpływ na poufność, niski na integralność i niski na dostępność, zakres bez zmian. Według własnych wyliczeń IBM exploitability wynosi 3.9, a impact 3.4. Każdy oceniony przez IBM wymiar wpływu jest niski. Ocena 7.3 wynika niemal wyłącznie z łatwości dotarcia do luki, a nie z tego, jak duże szkody zdaniem IBM wyrządza.

IBM jest jedynym podmiotem, który ją ocenił. NVD oznacza CVE-2026-18875 jako „Analyzed” na dzień 7 października 2026 r., ale jedyną metryką CVSS w jego rekordzie jest metryka IBM oznaczona jako Secondary; NVD nie podało własnej oceny podstawowej. Baza GitHub Advisory Database zawiera ten sam opis i tę samą ocenę 7.3, opublikowaną 23 września 2026 r. o 18:31 UTC.

Najbliższy odpowiednik oceny, której IBM nie napisał, pochodzi z bloku ADP Vulnrichment CISA w rekordzie CVE — decyzja SSVC 2.0.3 zapisana 23 września 2026 r. o 18:48 UTC: Eksploatacja: brak. Automatyzowalne: tak. Wpływ techniczny: częściowy. Ten werdykt mówi dwie rzeczy naraz i obie należą do tego samego zdania: koordynator CISA nie dostrzegł żadnego wykorzystania w momencie publikacji i uznał tę lukę za automatyzowalną — coś, co skaner lub skrypt mógłby przetworzyć, a nie jednorazowy atak ręczny.

System FIRST Exploit Prediction Scoring System przypisał CVE-2026-18875 wartość 0,00369, czyli około 0,37%, w 30. percentylu, w przebiegu modelu z 25 października 2026 r. EPSS szacuje prawdopodobieństwo zaobserwowanego wykorzystania w ciągu najbliższych 30 dni; wynik na poziomie 30. percentyla to spokojna liczba i jest prognozą, a nie raportem o czymkolwiek, co się wydarzyło.

Co jest ustalone, a co nie

Potwierdzone. Podatność istnieje i jest udokumentowana w źródłach pierwotnych, które są ze sobą zgodne: biuletyn IBM z 21 września 2026 r., rekord CVE opublikowany 23 września 2026 r., przeanalizowany wpis NVD oraz biuletyn bezpieczeństwa GitHub. Zakres wersji, których dotyczy problem, wersja z poprawką, wynik i wektor CVSS, mapowanie CWE oraz lokalizacja kodu są w nich identyczne. Ścieżka zapisu była osiągalna bez poświadczeń — wynika to z samego opisu IBM, a nie z wnioskowania na podstawie wyniku. Koordynator CISA nie odnotował żadnego wykorzystania. Archiwum ocenia pewność rekordu na poziom A, jako niekwestionowaną, a rzeczywistą szkodę zapisano jako fałsz.

• Wada. Nieuwierzytelniona operacja upsert runbooka w serwerze agenta FTM AI, w pliku api.vectordb.runbooks.js:51, która pozwalała atakującemu wstawić treść do bazy danych wektorowych, z której agent pobiera dane. To sformułowanie IBM, a nie rekonstrukcja.

• Konsekwencja, o której twierdzi IBM. Że zatruta treść może skierować wywołania narzędzi MCP w stronę nieautoryzowanych działań płatniczych lub eksfiltracji danych płatniczych. IBM podaje to jako potencjalny wynik; nie twierdzi, że zademonstrował to w środowisku klienta.

• Poprawka. FTM 4.0.11.0, o którym mowa w węźle pomocy technicznej IBM 7285661. Pole „Workarounds and Mitigations” biuletynu zawiera wartość „Brak”.

• Rejestr wykorzystania. Brak. Rekord SSVC agencji CISA z 23 września 2026 r. wskazuje Wykorzystanie: brak; wartość EPSS 0.37% na dzień 25 października 2026 r. jest prognozą, a nie obserwacją; w żadnym z przejrzanych źródeł nie występuje ofiara, transakcja ani strata.

Nie ustalono. Kto znalazł lukę i w jaki sposób — biuletyn nie wymienia nikogo, a nie ma publicznej analizy od badacza wskazanego z nazwiska. Czy podatna ścieżka jest ujawniona w domyślnym wdrożeniu, czy tylko w określonej konfiguracji. Co faktycznie zmienia 4.0.11.0: czy ścieżka upsert wymaga teraz uwierzytelniania, czy została usunięta, czy została w inny sposób zawężona. Czy jakiekolwiek wdrożenie FTM kiedykolwiek udostępniło ten punkt końcowy niezaufanej sieci i przez jak długo między rezerwacją z 4 sierpnia a publikacją z 23 września. Oraz czy kiedykolwiek i gdziekolwiek próbowano wykonać działania płatnicze, przed którymi ostrzega IBM.

Zakresy wersji podawane w trackerach wtórnych nie są w pełni zgodne. Niektóre z nich przedstawiają zakres objęty podatnością jako „4.0.6.0 i wcześniejsze”, co nie odpowiada temu, co opublikowała firma IBM; inne podają od 4.0.7.0 do 4.0.11.0 (bez tej ostatniej), co zgadza się z konfiguracją NVD w formacie maszynowym, ale pomija linię 4.0.6.0 z poprawką tymczasową. Decydujące znaczenie ma w tym przypadku biuletyn IBM, w którym wymieniono sześć linii wersji przedstawionych na powyższej karcie.

Jeszcze jedna rzecz, która nie została ustalona, ponieważ nikt nie próbował jej ustalić: żadna główna organizacja medialna ani niezależne laboratorium badawcze nie opublikowały najwyraźniej własnej analizy CVE-2026-18875. Jedyną oceną w publicznym zapisie, której nie napisało IBM, jest trzypolowy blok SSVC agencji CISA. Na dzień 26 października 2026 r. materiał obejmuje biuletyn IBM, rekord CVE, NVD, advisory GitHuba oraz zestaw trackerów podatności, które powielają tekst IBM. Kilka wyników wyszukiwania dotyczących CVE to wpisy blogowe o niejasnym pochodzeniu, które sprawiają wrażenie wygenerowanych maszynowo; niektóre z nich znajdują się na stronach publikujących także widgety cen kryptowalut; żaden z nich nie został tu użyty jako źródło. Nie istnieje drugi, niezależny opis tego błędu.

Poprawka i luka po niej

Środek zaradczy IBM to wyłącznie aktualizacja wersji: zaktualizuj wdrożenia FTM for Red Hat OpenShift do wersji 4.0.11.0, pierwsza poprawka w węźle pomocy technicznej 7285661, bez zaproponowanego tymczasowego obejścia. Ten ostatni punkt jest praktycznie najważniejszy. Gdy dostawca publikuje „None” w sekcji obejść, operator, który nie może przejść na 4.0.11.0 zgodnie z harmonogramem płatności, pozostaje wyłącznie ze środkami, których dostawca nie opisał — ograniczeniem, kto może uzyskać dostęp do interfejsów runbook serwera agenta, co zaleca Redbot Security, a IBM nie.

O wadze sprawy decyduje to, czym jest FTM. IBM opisuje go jako „ujednolicony hub płatności, który bezpiecznie przetwarza, monitoruje i zarządza wszystkimi typami płatności, w tym modelami wsadowymi i modelami czasu rzeczywistego” z obsługą ISO 20022 do przetwarzania i kierowania transakcji oraz towarzyszącym produktem SWIFT zapewniającym certyfikowaną łączność SWIFT. Strona produktu IBM promuje również FTM AI Assistant, „agentowy interfejs konwersacyjny oparty na generatywnej AI” obejmujący płatności, zatwierdzenia, wydajność systemu i dokumentację. Biuletyn doradczy wskazuje „serwer agenta AI FTM” jako lokalizację luki i nie mówi nic o tym, jak ten serwer ma się do asystenta z witryny marketingowej. Każdy, kto na podstawie tych dwóch dokumentów sporządza diagram architektury, zgaduje.

Lekcja projektowa, którą Redbot wyciąga z tego przypadku, to ta, która przetrwa łatkę: trzymać pobraną treść poza ścieżką uprawnień. Jej zalecenia są takie, że tworzenie, zastępowanie i usuwanie runbooków wymaga uwierzytelnienia, zatwierdzenia i atrybucji; że pobrane runbooki nigdy nie mogą samodzielnie autoryzować płatności, rozszerzać zakresu transakcji ani zezwalać na transfer danych na zewnątrz; oraz że podłączone usługi płatnicze egzekwują własne uprawnienia niezależnie od tego, jak agent interpretuje to, co pobrał. To są zalecenia firmy zajmującej się threat intelligence, a nie zobowiązania IBM, i biuletyn IBM nie zawiera żadnego z nich.

Dlaczego archiwum nazywa to średnim

Rekord i wynik CVSS odpowiadają na różne pytania, a różnica między nimi jest uczciwym podsumowaniem tej sprawy. Wynik 7.3 IBM to ocena w paśmie HIGH dla luki, do której można trywialnie dotrzeć. Archiwum zapisuje wpis jako lukę, a nie incydent, ze severity medium, real harm false, confidence A i bez flagi sporu, datowany dokładnie na 23 września 2026 r. i zarejestrowany z polem regionu globalnego. Te pola opisują, co się wydarzyło, a nie wydarzyło się nic.

Ta kombinacja jest sednem tego wpisu. Agent płatności, który czytał z magazynu, do którego każdy mógł zapisywać, to poważny wyczyn inżynieryjny, a naprawiono go w aktualizacji wersji, zanim odnotowano, by ktokolwiek z niego skorzystał. Obie połowy są prawdziwe, a zapis trzyma je osobno, zamiast pozwalać, by wynik albo cisza mówiły same za siebie.