IBM:s Payment Agent accepterade oautentiserade runbook-skrivningar – CVE-2026-18875

IBM avslöjade en brist i AI-agent-servern i sin betalningsplattform IBM Financial Transaction Manager: en anropare utan autentiseringsuppgifter kunde skriva en runbook efter eget val till vektordatabasen som agenten hämtar från, och agentens egna Model Context Protocol-verktygsanrop kunde sedan styras av det den läste. IBMs säkerhetsbulletin, publicerad den 21 september 2026, säger att bristen kunde leda till "otillåtna betalningsåtgärder eller exfiltrering av betalningsdata." CVE:n, CVE-2026-18875, publicerades den 23 september 2026 med en CVSS 3.1-baspoäng på 7.3, mappad till CWE-74 och lokaliserad i api.vectordb.runbooks.js:51. Ingen exploatering i det vilda har registrerats, och ingen kund-, betalnings- eller dataförlust har tillskrivits den. Denna redogörelse är hämtad från en enda post i Orca AI Incident Archive, som registrerar CVE-2026-18875 som en sårbarhet med medelhög allvarlighetsgrad utan registrerad skada och placerar den bredvid de andra dokumenterade agentincidenterna.

En CVE i en bulletin med fyrtiosju CVE:er

IBMs säkerhetsmeddelande om denna sårbarhet är inte ett fristående meddelande. Det är en enda post i Säkerhetsbulletin: IBM Financial Transaction Manager (FTM) påverkas av flera sårbarheter, dokument-UID ibm17288641, vars tabeller över påverkade produkter och åtgärder omfattar samtliga CVE:er i batchen. Sidan innehåller 47 distinkta CVE-identifierare, betygsatta av IBM från 3.7 till 9.9, och dess ändringshistorik innehåller exakt en rad: "21 sep 2026: Första publicering." Bulletinen reviderades inte efter att den hade publicerats, och dess avsnitt för erkännanden är tomt – IBM tillerkänner ingen forskare, rapportör eller kund för något av de 47 fynden.

RAG-posten är avvikaren i den listan. De flesta närliggande CVE-beskrivningarna låter som vanlig middleware-hygien: hårdkodade kryptografiska nycklar, path traversal, hantering av externa XML-entiteter, osäker deserialisering, en saknad auktoriseringskontroll som IBM säger "skulle kunna göra det möjligt för en fjärrangripare att utföra obehöriga betalningsåtgärder." CVE-2026-18875 är den enda som beskriver en defekt i hur produktens AI-agent får tag i det material som den resonerar kring. IBMs beskrivning, citerad i sin helhet från rådgivningen:

IBM Financial Transaction Manager (FTM) 4.x är sårbar för RAG-förgiftning via oautentiserad upsert av runbook (CWE-74) i FTM AI-agentens server (api.vectordb.runbooks.js:51). En oautentiserad angripare kan infoga skadligt runbook-innehåll i agentens vektordatabas för att styra AI-drivna MCP-verktygsanrop, vilket potentiellt kan utlösa obehöriga betalningsåtgärder eller exfiltrera betalningsdata.

Datumen är värda att skilja på, eftersom posten och bulletinen inte använder samma. IBMs bulletin har ett initialt publiceringsdatum den 21 september 2026. CVE-identifieraren reserverades den 4 augusti 2026 och själva CVE-posten publicerades den 23 september 2026 kl. 15:47 UTC; NVD:s post följde kl. 16:16 UTC samma dag. Arkivet registrerar incidenten den 23 september 2026, dagen då CVE:n blev offentlig, med en precision på en dag.

Mekanismen: att skriva in i lagret som agenten litar på

Ett retrieval-augmented generation-system fungerar genom att hämta passager från ett lager och lägga dem framför modellen som kontext. IBMs rådgivning placerar en funktion för "runbook upsert" i det lagret – en operation som skriver en runbook-post till agentens vektordatabas – och säger att operationen accepterade skrivningen utan autentisering. Sökvägen i rådgivningen, api.vectordb.runbooks.js:51, pekar på en JavaScript-tjänst, vilket är så mycket arkitektur som IBM avslöjar.

Det gör detta till en annan sak än den indirekta promptinjektion som de flesta agentincidenter kretsar kring. I det vanliga fallet måste en angripare få innehåll framför en agent som surfar eller läser filer: förgifta en sida som agenten hämtar, ett dokument som den öppnar, ett e-postmeddelande som den sammanfattar. Här behöver ingenting hämtas utifrån. Angriparen skriver den förgiftade kunskapen direkt in i lagret som agenten redan litar på, och lagret lämnar tillbaka den som granskad operativ vägledning under ett betalningsarbetsflöde. Redbot Security, ett hotunderrättelseföretag som beskrev sårbarheten som RBT-TI-0099 och framställer den som indirekt promptinjektion med dataexfiltrering utan klick, sammanfattar skillnaden i en rad:"Hämtat innehåll kan bli ett operativt inflytande."Arkivet taggar posten IPI och INFRA av samma anledning – injektionsvägen är agentens instruktionslager, och sårbarheten finns i infrastrukturen.

Det som IBM inte säger har lika stor betydelse som det som IBM säger. Säkerhetsmeddelandet namnger inte de MCP-verktyg som agenten kan anropa, säger inte vilka betalningsoperationer de kommer åt, säger inte om upsert-rutten exponeras i en standarddistribution av FTM eller endast i specifika konfigurationer, och beskriver inte den autentiseringsmodell som skulle skydda den. Det säger "potentiellt" och stannar där.

Läser en 7.3

CVSS 3.1-vektorn är AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L. Uppdelad: nåbar över nätverket, låg attackkomplexitet, inga privilegier krävs, ingen användarinteraktion – vilket är det som gör den allvarlig – och sedan låg påverkan på konfidentialitet, låg påverkan på integritet och låg påverkan på tillgänglighet, omfattning oförändrad. IBMs egna siffror anger exploaterbarheten till 3,9 och påverkan till 3,4. Varje påverkansdimension som IBM bedömde är Låg. 7,3 drivs nästan helt av hur lätt sårbarheten är att nå, inte av hur stor skada IBM anser att den gör.

IBM är den enda aktören som har poängsatt det. NVD markerar CVE-2026-18875 som "Analyzed" per den 7 oktober 2026, men det enda CVSS-måttet i dess post är IBMs, märkt Secondary; NVD angav ingen egen primärpoäng. GitHub's Advisory Database innehåller samma beskrivning och samma poäng på 7.3, publicerad den 23 september 2026 kl. 18:31 UTC.

Det närmaste man kommer en bedömning som IBM inte har skrivit finns i CISA:s ADP Vulnrichment-block på CVE-posten, ett SSVC 2.0.3-beslut registrerat den 23 september 2026 kl. 18:48 UTC: Exploatering: ingen. Automatiserbar: ja. Teknisk påverkan: delvis. Det omdömet säger två saker samtidigt, och båda hör hemma i samma mening: CISA:s samordnare såg ingen exploatering vid publiceringstillfället och ansåg att sårbarheten var automatiserbar – den typ av sak som en skanner eller ett skript skulle kunna arbeta sig igenom snarare än en manuell engångsattack.

FIRST's Exploit Prediction Scoring System placerade CVE-2026-18875 på 0,00369, eller ungefär 0,37 %, i den 30:e percentilen, i modellkörningen daterad 25 oktober 2026. EPSS uppskattar sannolikheten för observerad exploatering under de kommande 30 dagarna; en poäng i 30:e percentilen är en lågmäld siffra, och det är en prognos snarare än en rapport om något som har hänt.

Vad som är fastställt, och vad som inte är det

Fastställt.Sårbarheten finns och är dokumenterad i primärkällor som stämmer överens med varandra: IBM:s bulletin från 21 september 2026, CVE-posten som publicerades 23 september 2026, NVD:s analyserade post och GitHubs rådgivning. Det drabbade versionsintervallet, åtgärdsversionen, CVSS-poängen och CVSS-vektorn, CWE-mappningen och kodplatsen är identiska i alla dessa. Skrivvägen var nåbar utan autentiseringsuppgifter – det står i IBM:s egen beskrivning, inte en slutsats utifrån poängen. CISA:s samordnare registrerade ingen exploatering. Arkivet sätter postens tillförlitlighetsgrad till A, inte omtvistad, med verklig skada registrerad som falsk.

• Felet. En oautentiserad runbook-upsert i FTM AI-agenttservern, på api.vectordb.runbooks.js:51, som gjorde att en angripare kunde infoga innehåll i vektordatabasen som agenten hämtar från. IBM:s formulering, inte en rekonstruktion.

• Konsekvensen som IBM hävdar.Att det förgiftade innehållet skulle kunna styra MCP-verktygsanrop mot obehöriga betalningsåtgärder eller exfiltrering av betalningsdata. IBM anger detta som ett potentiellt utfall; företaget hävdar inte att det har demonstrerats i en kundmiljö.

• Åtgärden. FTM 4.0.11.0, refererad från IBM:s supportnod 7285661. Bulletinens fält Workarounds and Mitigations anger "Inga."

• Utnyttjanderegistreringen.Inget. CISA:s SSVC-post från den 23 september 2026 anger Exploitation: none; EPSS-värdet på 0,37 % per den 25 oktober 2026 är en prognos, inte en observation; inget offer, ingen transaktion och ingen förlust förekommer i någon granskad källa.

Inte fastställt.Vem som hittade sårbarheten och hur – bulletinen anger ingen upphovsperson, och det finns ingen offentlig redogörelse från en namngiven forskare. Huruvida den sårbara rutten är exponerad i en standarddistribution eller endast under en specifik konfiguration. Vad 4.0.11.0 faktiskt ändrar: huruvida upsert-rutten nu kräver autentisering, eller har tagits bort, eller har begränsats på något annat sätt. Huruvida någon FTM-distribution någonsin exponerade slutpunkten mot ett ej betrott nätverk, och hur länge i så fall mellan reserveringen den 4 augusti och publiceringen den 23 september. Och huruvida de betalningsåtgärder som IBM varnar för någonsin har försökts någonstans.

Versionsintervallen i sekundära trackers stämmer inte helt överens. Vissa återger det påverkade intervallet som "4.0.6.0 och tidigare", vilket inte är vad IBM publicerade; andra anger 4.0.7.0 upp till men inte inklusive 4.0.11.0, vilket matchar NVD:s maskinläsbara konfiguration men utelämnar 4.0.6.0 interim-fix-raden. IBMs bulletin är auktoriteten här och listar de sex versionsraderna som återges i kortet ovan.

Ytterligare en sak som inte är fastställd, eftersom ingen har försökt fastställa den: ingen etablerad nyhetsorganisation eller oberoende forskningsmiljö tycks ha publicerat en egen analys av CVE-2026-18875. Den enda bedömningen i det offentliga materialet som inte är skriven av IBM är CISA:s SSVC-block med tre fält. Per den 26 oktober 2026 består bevakningen av IBMs bulletin, CVE-posten, NVD, GitHubs rådgivning och en uppsättning sårbarhetsspårare som återger IBMs text. Flera sökträffar om CVE:t är blogginlägg med oklar härkomst som framstår som maskinellt genererade, några av dem på webbplatser som också publicerar priswidgetar för kryptovaluta; ingen av dem har använts som källa här. Det finns ingen andra, oberoende redogörelse för den här buggen.

Åtgärden, och gapet efter den

IBMs åtgärd är en versionsuppgradering och inget annat: uppdatera FTM för Red Hat OpenShift-distributioner till 4.0.11.0, första åtgärd vid supportnod 7285661, utan någon tillfällig lösning erbjuds. Den sista punkten är den praktiskt viktiga. När en leverantör publicerar "None" under tillfälliga lösningar, lämnas en operatör som inte kan gå över till 4.0.11.0 enligt ett betalningsschema med bara de åtgärder som leverantören inte skrev ned — att begränsa vem som kan nå agentserverns runbook-gränssnitt, vilket Redbot Security rekommenderar och IBM inte gör.

Vad som står på spel bestäms av vad FTM är. IBM beskriver det som "ett enhetligt betalningsnav som säkert bearbetar, övervakar och hanterar alla betalningstyper, inklusive batch- och realtidsmodeller," med stöd för ISO 20022 för bearbetning och routning av transaktioner, samt en kompletterande SWIFT-produkt för certifierad SWIFT-anslutning. IBMs produktsida marknadsför också en FTM AI Assistant, ett "agentiskt, generativt AI-drivet konversationsgränssnitt" som omfattar betalningar, godkännanden, systemprestanda och dokumentation. Säkerhetsrådgivningen namnger en "FTM AI agent server" som platsen för sårbarheten och säger ingenting om hur den servern relaterar till assistenten på marknadsföringssidan. Den som försöker rita ett arkitekturdiagram utifrån de två dokumenten tillsammans gissar.

Den designlärdom som Redbot drar av fallet är den som överlever patchen: håll hämtat innehåll utanför auktoritetsvägen. Dess rekommendationer är att skapande, ersättning och radering av runbooks kräver autentisering, godkännande och attribuering; att hämtade runbooks aldrig får tillåtas att på egen hand auktorisera betalningar, utöka transaktionsomfånget eller möjliggöra extern dataöverföring; och att de anslutna betaltjänsterna tillämpar sina egna behörigheter oavsett hur agenten tolkar det den har hämtat. Det är ett hotunderrättelseföretags rekommendationer, inte IBMs åtaganden, och IBMs bulletin innehåller inga av dem.

Varför arkivet kallar det för medium

Posten och CVSS-poängen svarar på olika frågor, och gapet mellan dem är den ärliga sammanfattningen av det här fallet. IBM:s 7,3 är en poäng i HIGH-bandet för en brist som är trivialt åtkomlig. Arkivet registrerar posten som en sårbarhet snarare än en incident, med allvarlighetsgrad medium, verklig skada false, konfidens A och ingen tvisteflagga, daterad 23 september 2026 på dagen och registrerad med ett globalt regionfält. Dessa fält beskriver vad som hände, och vad som hände är ingenting.

Den kombinationen är poängen med posten. En betalningsagent som läste från ett lager som vem som helst kunde skriva till är ett seriöst ingenjörsarbete, och det åtgärdades i en versionsuppgradering innan det är känt att någon hade använt det. Båda halvorna är sanna, och redogörelsen håller dem åtskilda i stället för att låta poängen eller tystnaden tala ensam.