En deux jours, NVD a publié trois CVE critiques chez IBM : deux traversées de chemin dans DataStage on Cloud Pak for Data 5.4.0.0 le 12 octobre 2026, et un contournement des contrôles d'accès gRPC dans WebSphere Application Server Liberty le 13 octobre.
Le fil conducteur : dans les deux cas, ce sont des briques d'infrastructure applicative qu'on oublie souvent dans l'inventaire — une plateforme d'intégration de données et un runtime Java embarqué dans des dizaines d'applications.
| CVE | Produit | CVSS | Vecteur | Publication NVD |
|---|---|---|---|---|
| CVE-2026-82110 | DataStage on Cloud Pak for Data | 9.6 | AV:N/AC:L/PR:L/UI:N/S:C/C:N/I:H/A:H | 2026-10-12 |
| CVE-2026-82101 | DataStage on Cloud Pak for Data | 9.6 | AV:N/AC:L/PR:L/UI:N/S:C/C:N/I:H/A:H | 2026-10-12 |
| CVE-2026-93895 | WebSphere Application Server Liberty | 9.1 | AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N | 2026-10-13 |
Aucune n'est au CISA KEV à la date de rédaction.
IBM DataStage on Cloud Pak for Data : CVE-2026-82110 et CVE-2026-82101
IBM DataStage on Cloud Pak for Data 5.4.0.0 could allow a remote authenticated attacker to execute arbitrary code due to improper validation of pathname during a path traversal.
Deux CVE, une même racine : une traversée de chemin accessible à un utilisateur authentifié. CVE-2026-82110 mène à l'exécution de code, CVE-2026-82101 à un déni de service.
Pourquoi c'est grave
Le PR:L signifie qu'un simple compte DataStage suffit — pas besoin d'être administrateur. Sur une plateforme de données, les comptes sont nombreux : développeurs ETL, analystes, comptes de service.
Le S:C indique que l'impact dépasse le composant vulnérable. Sur Cloud Pak for Data, DataStage tourne au milieu d'autres services de la plateforme, et il détient les connexions vers les bases sources et cibles des flux. Exécuter du code là, c'est se rapprocher des identifiants de ces connexions.
Versions
NVD cite 5.4.0.0 (borne CPE : 5.4.0). NVD ne donne pas de version corrigée : reporte-toi au bulletin de sécurité IBM pour le correctif ou le niveau à installer.
Mitigation
- Appliquer le correctif IBM indiqué dans le bulletin pour DataStage 5.4.0.0.
- Revoir les comptes ayant accès à DataStage : supprimer les comptes inactifs, réduire les droits.
- Restreindre l'accès réseau à l'interface de la plateforme aux utilisateurs qui en ont besoin.
- Surveiller les fichiers créés ou modifiés hors des répertoires de projets attendus et les processus inhabituels dans les pods DataStage.
IBM WebSphere Application Server Liberty : CVE-2026-93895
IBM WebSphere Application Server - Liberty 20.0.0.12 through 26.0.0.10 could allow an unauthenticated remote attacker to bypass access controls configured on gRPC service methods.
Liberty permet de protéger des méthodes de service gRPC avec des contrôles d'accès déclaratifs. Cette faille permet à un attaquant non authentifié de les contourner : les méthodes que tu pensais réservées à certains rôles deviennent appelables.
Pourquoi c'est grave
Le vecteur est PR:N avec un impact élevé en confidentialité et en intégrité. La gravité réelle dépend de ce que font tes méthodes gRPC : si elles exposent des données ou des opérations d'écriture protégées uniquement par ces contrôles, tout cela est accessible.
Le point d'attention : seules les applications qui exposent des services gRPC sur Liberty sont concernées par ce scénario. Mais Liberty est souvent embarqué dans des produits tiers et des images de conteneurs — tu ne sais pas forcément où il tourne.
Versions
La description NVD donne la plage 20.0.0.12 à 26.0.0.10. NVD ne publie pas de version corrigée : consulte le bulletin IBM pour le fix pack ou l'iFix à appliquer.
Mitigation
- Appliquer le fix pack ou l'iFix IBM indiqué dans le bulletin.
- Inventorier les instances Liberty qui exposent la fonctionnalité gRPC, y compris dans les images de conteneurs et les produits qui embarquent Liberty.
- Ne pas s'appuyer uniquement sur les contrôles Liberty pour les méthodes sensibles en attendant : filtrer l'accès réseau aux ports gRPC, ajouter une vérification d'autorisation dans le code applicatif.
- Surveiller les appels gRPC à des méthodes protégées sans authentification correspondante dans les journaux applicatifs.
Détection commune
- Inventaire précis des versions DataStage et Liberty — y compris Liberty embarqué
- Journaux d'accès applicatifs : appels à des fonctions sensibles depuis des comptes ou des sources inhabituels
- Fichiers modifiés et processus enfants inattendus sur les nœuds concernés
Pourquoi surveiller vos runtimes et plateformes de données
Un runtime comme Liberty ou une plateforme comme Cloud Pak for Data n'apparaît pas toujours dans l'inventaire sous son nom : il est caché dans une application, une image, un produit tiers. Ce sont pourtant eux que visent ces CVE.
Avec cveo.tech, inventorie tes composants middleware avec leur version exacte, et reçois une alerte dès qu'une CVE critique les concerne.