Уязвимость десериализации в модуле WmServiceMock платформы IBM webMethods Integration позволяет злоумышленнику, действующему по сети, выполнить произвольный код на сервере интеграции. Ни учётная запись, ни действия пользователя не требуются. Оценка по CVSS 3.1 составляет 9,8, по CVSS 2.0 - 10. Банк данных угроз безопасности информации присвоил записи номер BDU:2026-16621, уязвимость известна также как CVE-2026-12118. Затронуты ветки 10.15, 11.1 и 12.1.
CVE-2026-12118 в IBM webMethods Integration
Платформа обменивается сообщениями между корпоративными системами. Часть служебных данных она передаёт в виде сериализованных структур, то есть последовательностей байтов, из которых приложение заново собирает объекты. Модуль WmServiceMock занимается именно таким восстановлением. Проверка происхождения и содержимого структур там недостаточна. Злоумышленник подменяет данные, и платформа принимает чужой код за собственный. Дальше он исполняется в том же процессе, с теми же правами.
Класс ошибки вендор и составители банка данных описали как восстановление в памяти недостоверных данных (CWE-502). Технически это манипулирование структурами данных. Практически - прямой путь к захвату сервера без единой попытки подобрать пароль.
Уязвимость высокой степени опасности затрагивает не рядовое приложение. Платформа интеграции стоит в центре корпоративного контура. Через неё проходят заказы, счета, кадровые сведения, обмен с ERP- и CRM-системами. Ради этой связности серверу выдают учётные записи в смежных системах и доступ к сетевым сегментам. Скомпрометированный узел даёт злоумышленнику точку опоры внутри сети. Оттуда он может развивать атаку вбок, к базам данных и файловым хранилищам.
Отдельного внимания заслуживает доступность эксплойта. Демонстрационный код опубликован на GitHub, то есть проверка уязвимости не требует глубокой подготовки. Публичный эксплойт сокращает разрыв между раскрытием сведений об ошибке и первыми попытками её использовать. Данных об эксплуатации в реальных атаках на момент публикации записи нет. Однако сама возможность перебора целей по открытым сканерам сохраняется.
Версии 10.15, 11.1 и 12.1 остаются уязвимыми, если администраторы не установили исправление. IBM подтвердила проблему и выпустила обновлённые сборки, ссылка на её бюллетень приведена в карточке BDU:2026-16621. Дата выявления - 2 июля 2026 года. Статус уязвимости в банке данных отмечен как подтверждённый производителем, сведения об устранении тоже внесены.
Что делать администраторам
Обновите платформу до исправленных сборок из бюллетеня IBM. Проверьте все контуры, включая тестовые и предпродуктивные: они редко получают патчи первыми, но подключены к тем же базам. Если обновление откладывается, ограничьте сетевой доступ к серверу интеграции - оставьте только адреса доверенных систем и служебных узлов. Выставлять платформу в интернет без отдельного шлюза не стоит. Просмотрите журналы за период с момента публикации эксплойта: аномальные обращения к служебным модулям и запуск необычных процессов дают повод для разбора.
Сама по себе ошибка десериализации - не редкость. Такой механизм удобен разработчикам и опасен при работе с недоверенными данными. Ошибка в одном служебном модуле превращается в полный контроль над узлом интеграции. Для заказчиков IBM webMethods это означает одно: проверка периметра и учётных записей сервера важна не меньше, чем установка патча. Платформа связывает системы, а значит, и последствия её компрометации распространяются на них всех.
Ссылки
- https://bdu.fstec.ru/vul/2026-16621
- https://www.cve.org/CVERecord?id=CVE-2026-12118
- https://www.ibm.com/support/pages/node/7278857
- https://github.com/uday952/CVE-2026-12118-POC-
