CVE-2026-123218: autorización incorrecta en IBM Aspera Faspex explotada activamente

CVE-2026-123218: CISA confirma explotación activa de una falla de autorización en IBM Aspera Faspex

El 9 de noviembre de 2026 CISA añadió al catálogo de Vulnerabilidades Explotadas Conocidas (KEV) la CVE-2026-123218, una autorización incorrecta (CWE-863) en IBM Aspera Faspex, la plataforma de IBM para el intercambio de archivos de gran tamaño. La inclusión en KEV implica que existe evidencia de explotación activa. La puntuación CVSS enriquecida por NVD es 9.8 (CRÍTICA). El uso en campañas de ransomware figura como desconocido.

Análisis Técnico

Vector de Ataque

Según CISA, un usuario autenticado puede construir un mensaje específico que evade los controles de autorización y provoca una escalada de privilegios. Es la clase CWE-863: la aplicación realiza la verificación de permisos de forma incorrecta, de modo que una acción restringida se acepta para quien no debería poder ejecutarla.

Requiere una cuenta válida (incluso de bajo privilegio) en la instancia de Faspex.
El abuso se logra manipulando el mensaje enviado al servicio, sin necesidad de interacción de otro usuario.
El resultado es elevar privilegios dentro de la aplicación, con acceso potencial a transferencias, paquetes y configuración.

Los detalles técnicos adicionales (parámetros concretos, versiones exactas) no están en el feed KEV; deben consultarse en el aviso de IBM.

Impacto Operacional y de Seguridad

Faspex suele operar como puerta de entrada para mover datos sensibles entre organizaciones (medios, salud, finanzas, sector público). Una escalada de privilegios puede permitir:

Acceso a datos confidenciales intercambiados por la plataforma.
Control administrativo de la aplicación, creación de cuentas y alteración de flujos de transferencia.
Movimiento lateral hacia sistemas conectados a los nodos de transferencia.

La calificación 9.8 y la explotación confirmada elevan la urgencia: instancias expuestas a internet son prioridad máxima.

Productos Afectados

IBM Aspera Faspex. Las versiones afectadas y corregidas están detalladas en el aviso de IBM; verifique allí su versión antes de asumir que no está expuesto.

Recomendaciones y Mitigación

Acciones Inmediatas Recomendadas

Aplicar las mitigaciones y parches de IBM según el aviso del fabricante.
Evaluar la exposición a internet de cada instancia de Faspex y restringirla (VPN, listas de acceso) hasta parchear.
Revisar cuentas, roles y registros de actividad en busca de privilegios inesperados y mensajes anómalos.
Ejecutar triage forense conforme a los requisitos de CISA (Requisitos de triage forense de CISA).
Si no existen mitigaciones disponibles, discontinuar el uso del producto.

Para agencias federales (FCEB) la fecha límite es el 12 de noviembre de 2026, bajo la directiva BOD 26-04. Aunque no aplique a su organización, es una buena referencia de plazo.