// HEISE ONLINE — CYBERSECURITY
Zahlreiche Sicherheitslücken bedrohen IBM App Connect Enterprise
Patches schließen Schwachstellen in IBM App Connect Enterprise, der Log Source Management App for IBM QRadar SIEM und der TS4500 Tape Library.
Angreifer können unter anderem IBMs Integrationssoftware App Connect Enterprise attackieren und Systeme im schlimmsten Fall kompromittieren. Bislang gibt es seitens des Softwareherstellers keine Hinweise, dass Angreifer die Lücken bereits ausnutzen.
Wie aus IBMs erster Warnmeldung und einer zweiten Warnmeldung hervorgeht, stecken die App Connect Enterprise betreffenden Schwachstellen in verschiedenen Node.js-Modulen und Bibliotheken. Über zwei als „kritisch“ eingestufte Lücken (CVE-2026-106446, CVE-2026-106445) in der Template-Engine Handlebars können Angreifer Schadcode ausführen. In beiden Fällen müssen Angreifer Opfern präparierte Objekte oder Templates unterschieben, bei deren Verarbeitung eingeschleuster JavaScript-Code im Serverprozess ausgeführt wird.
Zusätzlich können Angreifer über Lücken in Apache Thrift (etwa CVE-2026-83745 „hoch“) oder in Axios (etwa CVE-2026-101901 „hoch“) Abstürze auslösen. Über eine Schwachstelle im MCP TypeScript SDK (CVE-2026-111767 „hoch“) können Angreifer eigentlich geschützte Daten einsehen.
Die Entwickler führen aus, die Sicherheitsprobleme in IBM App Connect Enterprise v12 – Fix Pack Release 12.0.12.31 und IBM App Connect Enterprise v13 – Fix Pack Release 13.0.9.1 gelöst zu haben.
Log Source Management App for IBM QRadar SIEM ist einem Beitrag zufolge über fünf Sicherheitslücken angreifbar. Davon sind vier mit dem Bedrohungsgrad „hoch“ eingestuft (CVE-2026-112366, CVE-2026-93748, CVE-2026-93749, CVE-2026-93687). Angreifer können etwa Dienste lahmlegen oder über eine Lücke in http-cache-semantics an Sitzungscookies anderer Nutzer gelangen. Dagegen soll die Version 7.0.19 gerüstet sein.
In TS4500 Tape Library haben die Entwickler in der Ausgabe 1.12.0.4 Fix Pack eine Softwareschwachstelle (CVE-2026-19133 „hoch“) geschlossen. Angemeldete Angreifer mit niedrigen Rechten können darüber die Passwörter anderer Nutzer ändern und deren Konten übernehmen.
Zuletzt hat IBM Mitte Oktober DoS-Lücken in IBM SPSS Modeler geschlossen.
Ob Sicherheitslücken, Viren oder Trojaner – alle sicherheitsrelevanten Meldungen gibts bei heise security
Ausführliche Informationen zum Versandverfahren und zu Ihren
Widerrufsmöglichkeiten erhalten Sie in unserer
Datenschutzerklärung.