Payment Agent da IBM aceitava gravações de runbook não autenticadas — CVE-2026-18875

A IBM divulgou uma falha no servidor de agente de IA de sua plataforma de pagamentos, o IBM Financial Transaction Manager: um chamador sem credenciais poderia gravar um runbook de sua escolha no banco de dados vetorial do qual o agente recupera informações, e as próprias chamadas de ferramentas do Model Context Protocol do agente poderiam então ser direcionadas pelo que ele leu. O boletim de segurança da IBM, publicado em 21 de setembro de 2026, diz que a falha poderia levar a "ações de pagamento não autorizadas ou exfiltração de dados de pagamento." A CVE, CVE-2026-18875, foi publicada em 23 de setembro de 2026 com pontuação base CVSS 3.1 de 7,3, mapeada para CWE-74 e localizada em api.vectordb.runbooks.js:51. Não foi registrada exploração na natureza, e nenhuma perda de cliente, de pagamento ou de dados foi atribuída a ela. Este relato é extraído de uma única entrada em o Orca AI Incident Archive, que registra a CVE-2026-18875 como uma vulnerabilidade de gravidade média sem danos registrados e a coloca ao lado dos demais incidentes de agente documentados.

Um CVE dentro de um boletim de quarenta e sete CVEs

O aviso da IBM para esta falha não é um comunicado independente. Ele é uma única entrada em Boletim de Segurança: IBM Financial Transaction Manager (FTM) é afetado por múltiplas vulnerabilidades, documento UID ibm17288641, cujas tabelas de produtos afetados e de remediação abrangem todas as CVE do lote. A página contém 47 identificadores CVE distintos, pontuados pela IBM de 3,7 a 9,9, e seu histórico de alterações tem exatamente uma linha: "21 de setembro de 2026: Publicação inicial." O boletim não foi revisado depois de publicado, e sua seção de Agradecimentos está vazia — a IBM não atribui crédito a nenhum pesquisador, relator ou cliente por nenhuma das 47 descobertas.

A entrada de RAG é a exceção nessa lista. A maioria das descrições de CVE vizinhas soa como higiene comum de middleware: chaves criptográficas embutidas diretamente no código, path traversal, tratamento de entidades externas XML, desserialização insegura, uma verificação de autorização ausente que, segundo a IBM, "poderia permitir que um atacante remoto executasse ações de pagamento não autorizadas". A CVE-2026-18875 é a única que descreve um defeito na forma como o agente de IA do produto adquire o material sobre o qual raciocina. A descrição da IBM, citada integralmente no aviso:

O IBM Financial Transaction Manager (FTM) 4.x é vulnerável a envenenamento de RAG (RAG poisoning) via upsert de runbook não autenticado (CWE-74) no servidor de agente de IA do FTM (api.vectordb.runbooks.js:51). Um atacante não autenticado pode inserir conteúdo de runbook malicioso no banco de dados vetorial do agente para direcionar chamadas de ferramentas MCP orientadas por IA, potencialmente disparando ações de pagamento não autorizadas ou exfiltração de dados de pagamento.

Vale a pena separar as datas, porque o registo e o boletim não usam a mesma. O boletim da IBM apresenta uma data de publicação inicial de 21 de setembro de 2026. O identificador CVE foi reservado em 4 de agosto de 2026 e o próprio registo CVE foi publicado em 23 de setembro de 2026 às 15:47 UTC; a entrada do NVD seguiu-se às 16:16 UTC do mesmo dia. O arquivo regista o incidente em 23 de setembro de 2026, o dia em que o CVE se tornou público, com precisão de dia.

O mecanismo: escrever no armazenamento em que o agente confia

Um sistema de geração aumentada por recuperação funciona buscando trechos em um armazenamento e colocando-os diante do modelo como contexto. O aviso da IBM coloca uma função "runbook upsert" nessa camada — uma operação que grava uma entrada de runbook no banco de dados vetorial do agente — e afirma que a operação aceitou a gravação sem autenticação. O caminho no aviso, api.vectordb.runbooks.js:51, aponta para um serviço JavaScript, que é o máximo de arquitetura que a IBM divulga.

Isso faz disto uma proposta diferente da injeção indireta de prompt na qual se baseiam a maioria dos incidentes com agentes. No caso comum, um atacante tem de colocar conteúdo diante de um agente que navega ou lê ficheiros: envenenar uma página que o agente vá buscar, um documento que vá abrir, um e-mail que vá resumir. Aqui não é preciso buscar nada do exterior. O atacante escreve o conhecimento envenenado diretamente no armazenamento em que o agente já confia, e o armazenamento devolve-o como orientação operacional validada durante um fluxo de trabalho de pagamento. A Redbot Security, uma empresa de threat intelligence que documentou a falha como RBT-TI-0099 e a classifica como injeção indireta de prompt com exfiltração de dados sem cliques, resume a distinção numa linha: "O conteúdo recuperado pode tornar-se uma influência operacional." O arquivo marca o registo como IPI e INFRA pela mesma razão — o caminho da injeção é a camada de instruções do agente, e a vulnerabilidade está na infraestrutura.

O que a IBM não diz importa tanto quanto o que ela diz. O aviso não nomeia as ferramentas MCP que o agente pode chamar, não diz quais operações de pagamento elas alcançam, não diz se a rota de upsert está exposta numa implantação padrão do FTM ou apenas em configurações específicas, e não descreve o modelo de autenticação que deveria protegê-la. Diz "potencialmente", e para por aí.

Lendo um 7.3

O vetor CVSS 3.1 é AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L. Decomposto: acessível pela rede, baixa complexidade de ataque, nenhum privilégio exigido, nenhuma interação do usuário — o que é o que o torna grave — e, em seguida, baixo impacto na confidencialidade, baixo na integridade e baixo na disponibilidade, escopo inalterado. Os próprios números da IBM indicam explorabilidade de 3,9 e impacto de 3,4. Todas as dimensões de impacto avaliadas pela IBM são Baixas. O 7,3 é sustentado quase inteiramente pela facilidade com que a falha é alcançada, não pelo dano que a IBM acredita que ela cause.

A IBM é a única parte que o pontuou. A NVD classifica a CVE-2026-18875 como "Analyzed" em 7 de outubro de 2026, mas a única métrica CVSS em seu registro é a da IBM, marcada como Secondary; a NVD não forneceu nenhuma pontuação primária própria. O Advisory Database do GitHub traz a mesma descrição e o mesmo 7.3, publicado em 23 de setembro de 2026 às 18:31 UTC.

O mais próximo de uma avaliação que a IBM não escreveu vem do bloco ADP Vulnrichment da CISA no registro CVE, uma decisão SSVC 2.0.3 registrada em 23 de setembro de 2026 às 18:48 UTC: Exploração: nenhuma. Automatizável: sim. Impacto técnico: parcial. Esse veredito diz duas coisas ao mesmo tempo, e ambas pertencem à mesma frase: o coordenador da CISA não viu nenhuma exploração no momento da publicação e considerou a falha automatizável — o tipo de coisa que um scanner ou um script poderia processar, em vez de um ataque manual pontual.

O Exploit Prediction Scoring System do FIRST atribuiu à CVE-2026-18875 a pontuação de 0,00369, ou aproximadamente 0,37%, no 30.º percentil, na execução do modelo datada de 25 de outubro de 2026. O EPSS estima a probabilidade de exploração observada nos próximos 30 dias; uma pontuação no 30.º percentil é um número discreto e constitui uma previsão, e não o relato de algo que tenha acontecido.

O que está estabelecido e o que não está

Estabelecido. A vulnerabilidade existe e está documentada em fontes primárias que concordam entre si: o boletim da IBM de 21 de setembro de 2026, o registro CVE publicado em 23 de setembro de 2026, a entrada analisada do NVD e o aviso do GitHub. O intervalo de versões afetadas, a versão de correção, a pontuação e o vetor CVSS, o mapeamento CWE e a localização do código são idênticos entre eles. O caminho de gravação era acessível sem credenciais — isso está na própria descrição da IBM, não é uma inferência a partir da pontuação. O coordenador da CISA não registrou exploração. O arquivo classifica a confiança do registro como A, não disputado, com dano real registrado como falso.

• A falha. Um upsert de runbook não autenticado no servidor do agente de IA FTM, em api.vectordb.runbooks.js:51, que permitia a um atacante inserir conteúdo no banco de dados vetorial do qual o agente recupera. Formulação da IBM, não uma reconstrução.

• A consequência que a IBM afirma. Esse conteúdo envenenado poderia direcionar chamadas de ferramentas MCP para ações de pagamento não autorizadas ou para exfiltração de dados de pagamento. A IBM declara isso como um desfecho potencial; não afirma tê-lo demonstrado em um ambiente de cliente.

• A correção. FTM 4.0.11.0, referenciado no nó de suporte da IBM 7285661. O campo Workarounds and Mitigations do boletim informa "Nenhuma."

• O registro de exploração. Nenhum. O registro SSVC da CISA de 23 de setembro de 2026 traz Exploração: nenhuma; o valor EPSS de 0,37% em 25 de outubro de 2026 é uma previsão, não uma observação; nenhuma vítima, transação ou perda aparece em qualquer fonte revisada.

Não estabelecido. Quem encontrou a falha e como — o boletim não credita ninguém, e não há nenhum relato público de um pesquisador identificado. Se a rota vulnerável fica exposta em uma implantação padrão ou apenas sob configuração específica. O que a 4.0.11.0 realmente altera: se a rota de upsert agora exige autenticação, ou foi removida, ou foi restringida de alguma outra forma. Se alguma implantação do FTM já expôs o endpoint a uma rede não confiável, e por quanto tempo entre a reserva de 4 de agosto e a publicação de 23 de setembro. E se as ações de pagamento sobre as quais a IBM alerta já foram tentadas em algum lugar.

Os intervalos de versão nos rastreadores secundários não concordam todos. Alguns apresentam o intervalo afetado como "4.0.6.0 e anteriores", o que não é o que a IBM publicou; outros informam de 4.0.7.0 até, mas não incluindo, 4.0.11.0, o que corresponde à configuração legível por máquina da NVD, mas omite a linha de correção provisória 4.0.6.0. O boletim da IBM é a autoridade aqui e lista as seis linhas de versão reproduzidas no cartão acima.

Mais uma coisa que não está estabelecida, porque ninguém tentou estabelecê-la: nenhuma organização de notícias mainstream ou laboratório de pesquisa independente parece ter publicado sua própria análise da CVE-2026-18875. A única avaliação no registro público que não foi escrita pela IBM é o bloco SSVC de três campos da CISA. Até 26 de outubro de 2026, a cobertura consiste no boletim da IBM, no registro CVE, no NVD, no aviso do GitHub e em um conjunto de rastreadores de vulnerabilidades que reproduzem o texto da IBM. Vários resultados de busca sobre a CVE são posts de blog de procedência incerta que dão a impressão de ser gerados por máquina, alguns deles em sites que também publicam widgets de preços de criptomoedas; nenhum deles foi usado como fonte aqui. Não há um segundo relato independente desse bug.

A correção, e a lacuna depois dela

A remediação da IBM é uma atualização de versão e nada mais: atualizar as implantações do FTM for Red Hat OpenShift para 4.0.11.0, com a primeira correção no support node 7285661, sem nenhum workaround provisório oferecido. Esse último ponto é o que importa na prática. Quando um fornecedor publica “Nenhuma” em workarounds, um operador que não consegue migrar para 4.0.11.0 dentro do cronograma de pagamentos fica apenas com as medidas que o fornecedor não documentou — restringir quem pode acessar as interfaces de runbook do servidor do agente, o que a Redbot Security recomenda e a IBM não.

O que está em jogo é definido pelo que o FTM é. A IBM o descreve como "um hub unificado de pagamentos que processa, monitora e gerencia com segurança todos os tipos de pagamento, incluindo modelos em lote e em tempo real," com suporte a ISO 20022 para processamento e roteamento de transações, e um produto SWIFT complementar para conectividade SWIFT certificada. A página do produto da IBM também divulga um FTM AI Assistant, uma "interface conversacional agêntica e alimentada por IA generativa" que abrange pagamentos, aprovações, desempenho do sistema e documentação. O comunicado de segurança aponta um "FTM AI agent server" como o local da falha e não diz nada sobre como esse servidor se relaciona com o assistente na página de marketing. Qualquer pessoa que monte um diagrama de arquitetura a partir dos dois documentos juntos está adivinhando.

A lição de design que a Redbot extrai do caso é a que sobrevive ao patch: manter o conteúdo recuperado fora do caminho de autoridade. Suas recomendações são que a criação, a substituição e a exclusão de runbooks exijam autenticação, aprovação e atribuição; que nunca se permita que runbooks recuperados autorizem pagamentos, ampliem o escopo de transações ou permitam transferência de dados externa por conta própria; e que os serviços de pagamento conectados apliquem suas próprias permissões independentemente de como o agente interpreta o que recuperou. Essas são recomendações de uma empresa de inteligência de ameaças, não compromissos da IBM, e o boletim da IBM não apresenta nenhuma delas.

Por que o arquivo chama isso de médio

O registro e a pontuação CVSS respondem a perguntas diferentes, e a lacuna entre eles é o resumo honesto deste caso. O 7.3 da IBM é uma pontuação de faixa HIGH para uma falha trivialmente alcançável. O arquivo registra a entrada como vulnerabilidade, e não como incidente, com severidade média, dano real falso, confiança A e nenhum sinalizador de disputa, datada exatamente de 23 de setembro de 2026 e arquivada com um campo de região global. Esses campos descrevem o que aconteceu, e o que aconteceu é nada.

Essa combinação é o ponto da entrada. Um agente de pagamento que lia de um armazenamento no qual qualquer pessoa poderia gravar é um trabalho de engenharia sério, e foi corrigido em uma atualização de versão antes de haver conhecimento de que alguém o tivesse usado. Ambas as metades são verdadeiras, e o registro as mantém separadas em vez de deixar que a pontuação ou o silêncio falem sozinhos.