Payment Agent của IBM chấp nhận ghi Runbook không xác thực — CVE-2026-18875

IBM đã công bố một lỗ hổng trong máy chủ tác nhân AI của nền tảng thanh toán IBM Financial Transaction Manager: kẻ gọi không có thông tin xác thực nào có thể ghi một runbook do hắn tự chọn vào cơ sở dữ liệu vector mà tác nhân truy xuất, và các lệnh gọi công cụ Model Context Protocol của chính tác nhân sau đó có thể bị điều khiển bởi những gì nó đọc được. Bản tin bảo mật của IBM, công bố ngày 21 tháng 9 năm 2026, cho biết lỗ hổng có thể dẫn đến "các hành động thanh toán trái phép hoặc rò rỉ dữ liệu thanh toán." CVE, CVE-2026-18875, được công bố ngày 23 tháng 9 năm 2026 với điểm cơ sở CVSS 3.1 là 7,3, được ánh xạ tới CWE-74 và nằm tại api.vectordb.runbooks.js:51. Chưa ghi nhận trường hợp khai thác nào trong thực tế, và chưa có khách hàng, khoản thanh toán hay dữ liệu nào bị mất được quy cho lỗ hổng này. Bài tường thuật này được trích từ một mục duy nhất trong the Orca AI Incident Archive, nơi ghi nhận CVE-2026-18875 là lỗ hổng mức độ trung bình với không có thiệt hại nào được ghi nhận và đặt nó bên cạnh các sự cố tác nhân đã được ghi chép khác.

Một CVE nằm trong một bản tin gồm bốn mươi bảy CVE

Khuyến cáo của IBM về lỗ hổng này không phải là một thông báo độc lập. Đây là một mục duy nhất trong Bản tin bảo mật: IBM Financial Transaction Manager (FTM) bị ảnh hưởng bởi nhiều lỗ hổng, tài liệu UID ibm17288641, có các bảng sản phẩm bị ảnh hưởng và khắc phục bao quát mọi CVE trong đợt này. Trang có 47 mã định danh CVE riêng biệt, được IBM chấm điểm từ 3.7 đến 9.9, và lịch sử thay đổi của trang chỉ gồm đúng một dòng: "21 tháng 9 năm 2026: Công bố ban đầu." Bản tin không được sửa đổi sau khi xuất hiện, và phần Ghi nhận của bản tin để trống — IBM không ghi công cho bất kỳ nhà nghiên cứu, người báo cáo hay khách hàng nào đối với bất kỳ phát hiện nào trong 47 phát hiện.

Mục RAG là ngoại lệ trong danh sách đó. Hầu hết các mô tả CVE lân cận đều giống như những vấn đề vệ sinh middleware thông thường: khóa mật mã được mã hóa cứng, duyệt đường dẫn, xử lý thực thể ngoài XML, giải tuần tự hóa không an toàn, thiếu kiểm tra ủy quyền mà IBM nói rằng "có thể cho phép kẻ tấn công từ xa thực hiện các hành động thanh toán trái phép." CVE-2026-18875 là mục duy nhất mô tả một khiếm khuyết trong cách tác nhân AI của sản phẩm thu thập tài liệu mà nó dùng để suy luận. Mô tả của IBM, được trích dẫn đầy đủ từ thông báo bảo mật:

IBM Financial Transaction Manager (FTM) 4.x dễ bị tổn thương bởi hình thức đầu độc RAG (RAG poisoning) thông qua thao tác upsert runbook không cần xác thực (CWE-74) trong máy chủ tác nhân AI của FTM (api.vectordb.runbooks.js:51). Kẻ tấn công không được xác thực có thể chèn nội dung runbook độc hại vào cơ sở dữ liệu vector của tác nhân nhằm điều hướng các lệnh gọi công cụ MCP do AI dẫn dắt, từ đó có khả năng kích hoạt các hành động thanh toán trái phép hoặc đánh cắp dữ liệu thanh toán.

Các mốc ngày tháng đáng được tách riêng, vì bản ghi và bản tin không dùng cùng một mốc. Bản tin của IBM có ngày công bố ban đầu là 21 tháng 9 năm 2026. Mã định danh CVE được đặt trước vào ngày 4 tháng 8 năm 2026 và bản thân bản ghi CVE được công bố vào ngày 23 tháng 9 năm 2026 lúc 15:47 UTC; mục nhập của NVD theo sau lúc 16:16 UTC cùng ngày. Kho lưu trữ ghi nhận sự cố vào ngày 23 tháng 9 năm 2026, ngày CVE trở nên công khai, với độ chính xác đến ngày.

Cơ chế: ghi vào kho lưu trữ mà tác nhân tin cậy

Một hệ thống tạo sinh tăng cường truy xuất hoạt động bằng cách lấy các đoạn văn từ một kho lưu trữ và đặt chúng trước mô hình làm ngữ cảnh. Khuyến cáo của IBM đặt một chức năng "runbook upsert" trong lớp đó — một thao tác ghi một mục runbook vào cơ sở dữ liệu vector của tác nhân — và cho biết thao tác này chấp nhận việc ghi mà không có xác thực. Đường dẫn trong khuyến cáo, api.vectordb.runbooks.js:51, trỏ đến một dịch vụ JavaScript, và đó là mức độ kiến trúc mà IBM tiết lộ.

Điều đó khiến đây trở thành một vấn đề khác với kiểu chèn prompt gián tiếp mà hầu hết các sự cố agent xoay quanh. Trong trường hợp thông thường, kẻ tấn công phải đưa nội dung đến trước một agent duyệt web hoặc đọc tệp: đầu độc một trang mà agent sẽ tải, một tài liệu mà nó sẽ mở, một email mà nó sẽ tóm tắt. Ở đây không cần tải bất cứ thứ gì từ bên ngoài. Kẻ tấn công ghi trực tiếp tri thức bị đầu độc vào kho lưu trữ mà agent vốn đã tin tưởng, và kho lưu trữ trả lại nó như hướng dẫn vận hành đã được xác thực trong một quy trình thanh toán. Redbot Security, một công ty tình báo mối đe dọa đã ghi nhận lỗ hổng này là RBT-TI-0099 và mô tả nó như chèn prompt gián tiếp với rò rỉ dữ liệu không cần nhấp, đúc kết sự khác biệt trong một dòng: "Nội dung được truy xuất có thể trở thành một ảnh hưởng vận hành." Kho lưu trữ gắn thẻ bản ghi là IPI và INFRA vì lý do tương tự — đường dẫn chèn nằm ở lớp chỉ dẫn của agent, và lỗ hổng nằm trong hạ tầng.

Những gì IBM không nói cũng quan trọng không kém những gì họ nói. Bản khuyến nghị không nêu tên các công cụ MCP mà tác nhân có thể gọi, không cho biết chúng chạm tới những thao tác thanh toán nào, không cho biết tuyến upsert có được đưa ra trong một triển khai FTM mặc định hay chỉ trong những cấu hình cụ thể, và không mô tả mô hình xác thực lẽ ra phải bảo vệ nó. Nó nói “có khả năng,” và dừng ở đó.

Đang đọc một 7.3

Vector CVSS 3.1 là AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L. Diễn giải: có thể truy cập qua mạng, độ phức tạp tấn công thấp, không yêu cầu đặc quyền, không cần tương tác người dùng — chính điều này khiến nó trở nên nghiêm trọng — và sau đó là tác động thấp đến tính bảo mật, tính toàn vẹn và tính khả dụng, phạm vi không đổi. Các con số của chính IBM đưa ra mức độ khai thác là 3.9 và tác động là 3.4. Mọi khía cạnh tác động mà IBM đánh giá đều là Thấp. Điểm 7.3 gần như hoàn toàn đến từ việc lỗ hổng dễ tiếp cận đến mức nào, chứ không phải từ mức độ thiệt hại mà IBM tin rằng nó gây ra.

IBM là bên duy nhất đã chấm điểm lỗ hổng này. NVD đánh dấu CVE-2026-18875 là "Analyzed" tính đến ngày 7 tháng 10 năm 2026, nhưng chỉ số CVSS duy nhất trong hồ sơ của nó là của IBM, được gắn nhãn Secondary; NVD không cung cấp điểm số chính nào của riêng mình. Cơ sở dữ liệu Advisory của GitHub có cùng mô tả và cùng mức 7.3, được công bố lúc 18:31 UTC ngày 23 tháng 9 năm 2026.

Thứ gần nhất với một bản đánh giá mà IBM không viết đến từ khối ADP Vulnrichment của CISA trên bản ghi CVE, một quyết định SSVC 2.0.3 được ghi nhận vào ngày 23 tháng 9 năm 2026 lúc 18:48 UTC: Khai thác: không. Có thể tự động hóa: có. Tác động kỹ thuật: một phần. Phán quyết đó nói lên hai điều cùng lúc, và cả hai đều thuộc về cùng một câu: điều phối viên của CISA không thấy hoạt động khai thác nào tại thời điểm công bố, và coi lỗ hổng này là có thể tự động hóa — kiểu vấn đề mà một công cụ quét hoặc một script có thể xử lý thay vì một cuộc tấn công thủ công đơn lẻ.

Hệ thống Chấm điểm Dự báo Khai thác của FIRST đã xếp CVE-2026-18875 ở mức 0,00369, tức khoảng 0,37%, thuộc phân vị thứ 30, trong lần chạy mô hình ngày 25 tháng 10 năm 2026. EPSS ước tính xác suất xảy ra khai thác được quan sát trong 30 ngày tới; điểm ở phân vị thứ 30 là một con số lặng lẽ, và đó là một dự báo chứ không phải bản báo cáo về bất cứ điều gì đã xảy ra.

Những gì đã được xác lập, và những gì chưa.

Đã xác lập. Lỗ hổng tồn tại và được ghi nhận trong các nguồn chính thống đồng thuận với nhau: bản tin của IBM ngày 21 tháng 9 năm 2026, bản ghi CVE công bố ngày 23 tháng 9 năm 2026, mục đã được phân tích của NVD và khuyến cáo của GitHub. Phạm vi phiên bản bị ảnh hưởng, phiên bản khắc phục, điểm và vectơ CVSS, ánh xạ CWE và vị trí mã đều giống hệt nhau giữa các nguồn này. Đường dẫn ghi có thể truy cập mà không cần thông tin xác thực — điều này nằm trong mô tả của chính IBM, không phải suy luận từ điểm số. Điều phối viên của CISA ghi nhận không có khai thác. Kho lưu trữ chấm độ tin cậy của bản ghi là A, không bị tranh chấp, với tác hại thực được ghi nhận là false.

• Lỗ hổng. Một thao tác upsert runbook không được xác thực trong máy chủ tác nhân AI FTM, tại api.vectordb.runbooks.js:51, cho phép kẻ tấn công chèn nội dung vào cơ sở dữ liệu vector mà tác nhân truy xuất từ đó. Đây là cách diễn đạt của IBM, không phải bản tái dựng.

• Hậu quả mà IBM tuyên bố.Nội dung bị nhiễm độc đó có thể điều hướng các lệnh gọi công cụ MCP sang các hành động thanh toán trái phép hoặc rò rỉ dữ liệu thanh toán. IBM nêu đây là một kết quả tiềm tàng; hãng không tuyên bố đã chứng minh được điều này trong môi trường của khách hàng.

• Bản sửa lỗi. FTM 4.0.11.0, được tham chiếu từ node hỗ trợ IBM 7285661. Trường Workarounds and Mitigations của bản tin ghi là "None."

• Hồ sơ khai thác. Không có. Hồ sơ SSVC của CISA ngày 23 tháng 9 năm 2026 ghi Khai thác: không có; chỉ số EPSS 0,37% tính đến ngày 25 tháng 10 năm 2026 là dự báo, không phải quan sát; không có nạn nhân, giao dịch hay tổn thất nào xuất hiện trong bất kỳ nguồn nào được xem xét.

Chưa được xác lập. Ai đã phát hiện ra lỗ hổng và bằng cách nào — bản tin không ghi nhận ai, và không có bài viết công khai nào từ một nhà nghiên cứu được nêu tên. Liệu tuyến dễ bị tổn thương có bị lộ trong một triển khai mặc định hay chỉ trong cấu hình cụ thể. 4.0.11.0 thực sự thay đổi điều gì: liệu tuyến upsert giờ có yêu cầu xác thực, hay đã bị xóa, hay bị thu hẹp theo cách khác. Liệu có bất kỳ triển khai FTM nào từng để lộ điểm cuối ra mạng không đáng tin cậy hay không, và trong bao lâu giữa thời điểm bảo lưu ngày 4 tháng 8 và thời điểm công bố ngày 23 tháng 9. Và liệu các hành động thanh toán mà IBM cảnh báo có từng được thử ở bất kỳ đâu hay chưa.

Các dải phiên bản trong những trình theo dõi thứ cấp không hoàn toàn khớp nhau. Một số hiển thị dải bị ảnh hưởng là “4.0.6.0 và các phiên bản trước đó”, không giống như những gì IBM đã công bố; những nguồn khác đưa ra từ 4.0.7.0 đến trước 4.0.11.0, khớp với cấu hình dạng máy đọc được của NVD nhưng bỏ sót dòng bản vá tạm thời 4.0.6.0. Bản tin của IBM là nguồn có thẩm quyền trong trường hợp này và liệt kê sáu dòng phiên bản được tái hiện trong thẻ ở trên.

Một điểm nữa chưa được xác lập, vì chưa ai thử xác lập nó: dường như không có cơ quan truyền thông chính thống nào hay phòng nghiên cứu độc lập nào đã công bố phân tích của riêng mình về CVE-2026-18875. Đánh giá duy nhất trong hồ sơ công khai mà IBM không viết là khối SSVC ba trường của CISA. Tính đến ngày 26 tháng 10 năm 2026, các nội dung đưa tin gồm bản tin của IBM, bản ghi CVE, NVD, thông báo của GitHub và một nhóm công cụ theo dõi lỗ hổng sao chép lại văn bản của IBM. Một số kết quả tìm kiếm về CVE này là các bài blog có nguồn gốc không rõ ràng, đọc như do máy tạo ra, một số nằm trên các trang cũng đăng widget giá tiền mã hóa; không bài nào trong số đó được dùng làm nguồn ở đây. Không có tài liệu mô tả độc lập thứ hai nào về lỗi này.

Bản sửa lỗi, và khoảng trống sau đó

Biện pháp khắc phục của IBM chỉ là một bản nâng cấp phiên bản và không có gì khác: cập nhật FTM cho các triển khai Red Hat OpenShift lên 4.0.11.0, bản sửa lỗi đầu tiên nằm ở nút hỗ trợ 7285661, và không hề đưa ra biện pháp thay thế tạm thời nào. Điểm cuối cùng đó mới chính là điểm quan trọng trên thực tế. Khi nhà cung cấp ghi "None" trong mục biện pháp thay thế, một đơn vị vận hành không thể chuyển lên 4.0.11.0 theo lịch thanh toán sẽ chỉ còn lại những biện pháp mà nhà cung cấp không hề ghi ra — hạn chế những ai có thể truy cập vào các giao diện runbook của máy chủ agent, điều mà Redbot Security khuyến nghị còn IBM thì không.

Mức độ nghiêm trọng được quyết định bởi FTM là gì. IBM mô tả nó là "một trung tâm thanh toán thống nhất xử lý, giám sát và quản lý một cách an toàn mọi loại hình thanh toán, bao gồm cả mô hình theo lô và thời gian thực," với hỗ trợ ISO 20022 để xử lý và định tuyến giao dịch, cùng một sản phẩm SWIFT đồng hành để có kết nối SWIFT được chứng nhận. Trang sản phẩm của IBM cũng quảng bá FTM AI Assistant, một "giao diện hội thoại do AI tạo sinh vận hành, mang tính tác tử" bao trùm thanh toán, phê duyệt, hiệu năng hệ thống và tài liệu. Bản khuyến nghị nêu tên "FTM AI agent server" là vị trí của lỗ hổng và không đề cập gì đến việc máy chủ đó liên quan thế nào tới trợ lý trên trang tiếp thị. Bất kỳ ai vẽ sơ đồ kiến trúc từ hai tài liệu này cùng nhau thì đều chỉ đang đoán.

Bài học thiết kế mà Redbot rút ra từ vụ việc là bài học vẫn đứng vững sau bản vá: giữ nội dung được truy xuất ra khỏi luồng thẩm quyền. Các khuyến nghị của họ là việc tạo, thay thế và xóa runbook phải yêu cầu xác thực, phê duyệt và quy trách nhiệm; rằng không bao giờ được để các runbook được truy xuất tự mình cấp phép thanh toán, mở rộng phạm vi giao dịch hoặc cho phép truyền dữ liệu ra bên ngoài; và rằng các dịch vụ thanh toán được kết nối phải tự thực thi quyền hạn của mình bất kể tác nhân diễn giải nội dung đã truy xuất như thế nào. Đó là các khuyến nghị của một công ty tình báo mối đe dọa, không phải cam kết của IBM, và bản tin của IBM không đưa ra khuyến nghị nào trong số đó.

Tại sao kho lưu trữ lại gọi nó là cỡ trung bình

Hồ sơ và điểm CVSS đang trả lời những câu hỏi khác nhau, và khoảng cách giữa chúng chính là bản tóm tắt trung thực của trường hợp này. Điểm 7.3 của IBM là điểm thuộc dải CAO đối với một lỗ hổng có thể tiếp cận một cách dễ dàng. Cơ sở lưu trữ ghi mục này là một lỗ hổng chứ không phải một sự cố, với mức độ nghiêm trọng trung bình, tác hại thực tế là sai, độ tin cậy A và không có cờ tranh chấp, được ghi ngày 23 tháng 9 năm 2026 chính xác đến ngày và được lưu với trường khu vực toàn cầu. Những trường đó mô tả điều gì đã xảy ra, và điều đã xảy ra là không có gì.

Sự kết hợp đó chính là điểm mấu chốt của mục này. Một tác nhân thanh toán đọc từ một kho dữ liệu mà bất kỳ ai cũng có thể ghi vào là một vấn đề kỹ thuật nghiêm trọng, và nó đã được sửa trong một bản nâng cấp trước khi có ai được biết là đã sử dụng nó. Cả hai nửa đều đúng, và hồ sơ giữ chúng tách biệt thay vì để điểm số hay sự im lặng tự mình lên tiếng.