Mittel26 / 100Konfidenz: Mittel

CVSS8.7EPSS1 %Über Netz erreichbarOhne AnmeldungOhne Zutun des Nutzers

Administratoren sollten umgehend die neuesten Sicherheitsupdates und Patches von IBM installieren, um die identifizierten Risiken zu mindern.

▸Herleitung der Bewertung(2)

Wie der Wert zustande kommt

Hoechster CVSS-Basiswert 8.7+16
Ohne Anmeldung ueber das Netz ausnutzbar (CVE-2026-44486, CVSS-Vektor AV:N/PR:N)+10

Woraus sich die Konfidenz ergibt

Nur ein Herausgeber — keine Gegenlesung
Darunter eine behoerdliche Primaerquelle
Strukturierte CVE-Daten aus der NVD vorhanden

Die Konfidenz misst die Belegqualität, nicht die Schwere.

Einschränkungen

Schmale Datenlage: der Wert beruht auf wenigen Einzelsignalen.
3 im Text genannte CVE(s) liegen uns nicht vor und gehen nicht in die Bewertung ein: CVE-2018-16487, CVE-2026-44489, CVE-2026-44490

Bewertung v1.1, deterministisch berechnet. Bedrohungswert und Konfidenz sind getrennte Größen.· 2026-09-11 11:06 UTCMethodik

Red Team Web Security

[NEU] [hoch] IBM MQ Appliance (Axios Node.js): Mehrere Schwachstellen

CERT-Bund·11. September 2026, 11:06

Originalartikel lesen bei CERT-Bund

In IBM MQ Appliance wurden mehrere kritische Schwachstellen entdeckt, die es einem entfernten Angreifer ermöglichen, Programmcode auszuführen, Daten zu manipulieren oder vertrauliche Informationen preiszugeben. Betroffen sind verschiedene Versionen der IBM MQ Appliance auf BIOS/Firmware, UNIX und Windows Plattformen. Nutzern wird dringend empfohlen, die von IBM bereitgestellten Sicherheitsupdates zu installieren, um diese Risiken zu mindern.

SecBoard-Einordnung

Diese Schwachstellen ermöglichen es entfernten, nicht authentifizierten Angreifern, beliebigen Code auszuführen, Daten zu manipulieren, sensible Informationen offenzulegen oder Denial-of-Service zu verursachen, was zu erheblichen Betriebsunterbrechungen und Datenlecks führen kann.

Realistisch schlimmster Fall: Im schlimmsten Fall könnte ein entfernter Angreifer die vollständige Kontrolle über die betroffene IBM MQ Appliance erlangen, was zur Ausführung von beliebigem Code, zur Manipulation kritischer Daten oder zur Offenlegung vertraulicher Informationen führen könnte.

Im erfassten Bestand

▸CVE-2026-44496 kommt damit in 6 erfassten Meldungen der letzten 90 Tage vor.

Gezählt im eigenen Bestand, rückwärts ab dem Erscheinungsdatum. Das ist Belegstärke, keine Aussage über die Häufigkeit in der Welt.

Key Facts

CVE-2026-44494

CVSS: 8.7 · HIGH
EPSS: 1.0%
Über das Netz: ja
Anmeldung nötig: nein
Nutzerinteraktion nötig: nein
Angriffskomplexität: hoch
Beeinträchtigt: Vertraulichkeit, Integrität
Patch: 1.16.0
Zuweisende CNA: security-advisories@github.com

CVE-2026-44492

CVSS: 8.6 · HIGH
EPSS: 0.9%
Über das Netz: ja
Anmeldung nötig: nein
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Vertraulichkeit
Patch: 0.32.0
Zuweisende CNA: security-advisories@github.com

CVE-2026-44488

CVSS: 7.5 · HIGH
EPSS: 0.7%
Über das Netz: ja
Anmeldung nötig: nein
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Verfügbarkeit
Patch: 1.16.0
Zuweisende CNA: security-advisories@github.com

CVE-2026-44496

CVSS: 7.5 · HIGH
EPSS: 0.7%
Über das Netz: ja
Anmeldung nötig: nein
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Verfügbarkeit
Patch: 1.16.0
Zuweisende CNA: security-advisories@github.com

CVE-2026-44487

CVSS: 7.5 · HIGH
EPSS: 0.7%
Über das Netz: ja
Anmeldung nötig: nein
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Vertraulichkeit
Patch: 1.16.0
Zuweisende CNA: security-advisories@github.com

CVE-2026-44486

CVSS: 7.5 · HIGH
EPSS: 0.7%
Über das Netz: ja
Anmeldung nötig: nein
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Vertraulichkeit
Patch: 1.16.0
Zuweisende CNA: security-advisories@github.com

CVE-2026-44495

CVSS: 7.0 · HIGH
EPSS: 0.8%
Über das Netz: ja
Anmeldung nötig: nein
Nutzerinteraktion nötig: nein
Angriffskomplexität: hoch
Beeinträchtigt: Vertraulichkeit, Integrität, Verfügbarkeit
Patch: 1.15.2
Zuweisende CNA: security-advisories@github.com

CVE-2018-16487

Im Text genannt, liegt uns aber noch nicht vor.

CVE-2026-44489

Im Text genannt, liegt uns aber noch nicht vor.

CVE-2026-44490

Im Text genannt, liegt uns aber noch nicht vor.

Betroffen

Organisationen, die IBM MQ Appliance in den Versionen 10.0.0.5, 9.4.0.26 und 9.4.5.3 auf BIOS/Firmware-, UNIX- und Windows-Plattformen einsetzen, sind betroffen.

Hersteller

AxiosRedhat

Produkte

Advanced Cluster Management For KubernetesAdvanced Cluster SecurityAnsible Automation PlatformAxiosData GridDeveloper HubDiscoveryOpenshift Container PlatformOpenshift Dev SpacesOpenshift Service MeshOpenshift VirtualizationQuay

▸ CPE-Rohbezeichner anzeigen (12)

cpe:2.3:a:axios:axios:*:*:*:*:*:node.js:*:*
cpe:2.3:a:redhat:advanced_cluster_management_for_kubernetes:*:*:*:*:*:*:*:*
cpe:2.3:a:redhat:advanced_cluster_security:*:*:*:*:*:kubernates:*:*
cpe:2.3:a:redhat:ansible_automation_platform:2.6:*:*:*:*:*:*:*
cpe:2.3:a:redhat:data_grid:8.6.2:*:*:*:*:*:*:*
cpe:2.3:a:redhat:developer_hub:-:*:*:*:*:*:*:*
cpe:2.3:a:redhat:discovery:-:*:*:*:*:*:*:*
cpe:2.3:a:redhat:openshift_container_platform:-:*:*:*:*:*:*:*
cpe:2.3:a:redhat:openshift_dev_spaces:-:*:*:*:*:*:*:*
cpe:2.3:a:redhat:openshift_service_mesh:-:*:*:*:*:*:*:*
cpe:2.3:a:redhat:openshift_virtualization:*:*:*:*:*:*:*:*
cpe:2.3:a:redhat:quay:-:*:*:*:*:*:*:*

Prüfen

▸Überprüfen Sie die installierten Versionen der IBM MQ Appliance, um festzustellen, ob eine der betroffenen Versionen (10.0.0.5, 9.4.0.26, 9.4.5.3) im Einsatz ist.
▸Stellen Sie sicher, dass alle von IBM bereitgestellten Sicherheitsupdates und Patches für die IBM MQ Appliance angewendet wurden.

▸ 1 weitere

▸Überwachen Sie Netzwerkverkehr und Systemprotokolle auf ungewöhnliche Aktivitäten, die auf eine Ausnutzung dieser Schwachstellen hindeuten könnten.

Offene Punkte

▸ anzeigen

▸Die spezifischen CVE-IDs der Schwachstellen sind im Artikel nicht genannt.
▸Es wird nicht spezifiziert, welche Art von 'Programmcode' ausgeführt werden kann (z.B. Shell-Befehle, Skripte).
▸Die genauen Auswirkungen der Datenmanipulation oder der Offenlegung vertraulicher Informationen werden nicht detailliert beschrieben.

Red-Team-Relevanz

Was heißt das für dein nächstes Assessment?

▸ Einordnung anzeigen

Initial Access möglich?Möglich
Privilege Escalation relevant?Unklar
Exploit öffentlich verfügbar?Ja
Detection / Logging prüfbar?Ja
Für Purple-Team-Szenario geeignet?Ja

Kundenfragen

Haben wir Windows extern erreichbar?
Können wir Reconnaissance detektieren?
Können wir Resource Development detektieren?

MITRE ATT&CK(8)

Techniken aus allen Quellen zusammengeführt — nach Stärke des Belegs sortiert.

T1041Exfiltration Over C2 Channelzugeordnet

„disclose sensitive information“

T1059Command and Scripting Interpreterzugeordnet

„ermöglichen, Programmcode auszuführen“

T1485Data Destructionzugeordnet

„Daten zu manipulieren“

T1499Endpoint Denial of Servicezugeordnet

„cause denial-of-service“

T1530Data from Cloud Storagezugeordnet

„vertrauliche Informationen preiszugeben“

T1583.004Acquire Infrastructure: Serverabgeleitet

T1584.004Compromise Infrastructure: Serverabgeleitet

T1592.003Gather Victim Host Information: Firmwareabgeleitet

Mehrere Herkünfte bei derselben Technik heißt: mehrere unabhängige Wege führen dorthin.

Kill-Chain-Phasen

Wie weit im Ablauf die belegten Techniken liegen — je Technik die früheste Phase.

Auskundschaften

›

Bewaffnung

›

Zustellung

›

Ausnutzung

›

Einnistung

›

Fernsteuerung

›

Zielhandlung

Quellen & Belege· 1 Quelle

CERT-BundPrimärbelegPUBLICZuverlässigkeit Adiese Meldung

Behoerdliche Veroeffentlichung mit Amtspflicht zur Richtigkeit, frei zugaenglich.

[NEU] [hoch] IBM MQ Appliance (Axios Node.js): Mehrere Schwachstellen

Nur eine Quelle — der Sachverhalt ist an keiner zweiten Stelle gegengelesen.

Verknüpfte Intelligence

Dieselben Entitäten an anderer Stelle auf SecBoard.

CVE-Profile

CVE-2026-44494 CVE-2026-44492 CVE-2026-44488 CVE-2026-44496 CVE-2026-44487 CVE-2026-44486 CVE-2026-44495 CVE-2018-16487 CVE-2026-44489 CVE-2026-44490

ATT&CK-Heatmap

Themen

hoch

Vollständigen Artikel lesen bei CERT-Bund

Erwähnte CVEs (10)

CVE-2026-44494HIGH(8.7)

EPSS 1.0%

Axios is a promise based HTTP client for the browser and Node.js. From 1.0.0 to before 1.16.0, the Axios library is vulnerable to a Prototype Pollution "Gadget" attack that allows any Object.prototype pollution in the application's dependency tree to be escalated into a full Man-in-the-Middle (MITM) attack — intercepting, reading, and modifying all HTTP traffic including authentication credentials. The HTTP adapter at lib/adapters/http.js:670 reads config.proxy via standard property access, which traverses the prototype chain. Because proxy is not present in Axios defaults, the merged config object has no own proxy property, making it trivially injectable via prototype pollution. Once injected, setProxy() routes all HTTP requests through the attacker's proxy server. This vulnerability is fixed in 1.16.0.

Details NVD

CVE-2026-44492HIGH(8.6)

EPSS 0.9%

Axios is a promise based HTTP client for the browser and Node.js. Prior to 0.32.0 and 1.16.0, Axios does not normalise IPv4-mapped IPv6 addresses. When NO_PROXY lists an IPv4 address such as 127.0.0.1 or 169.254.169.254, a request URL using the IPv4-mapped IPv6 form (::ffff:7f00:1, ::ffff:a9fe:a9fe) still routes through the configured proxy. Node.js resolves these addresses to the underlying IPv4 host, so the request reaches the internal service via the proxy rather than being blocked. This vulnerability is fixed in 0.32.0 and 1.16.0.

Details NVD

CVE-2026-44488HIGH(7.5)

EPSS 0.7%

Axios is a promise based HTTP client for the browser and Node.js. Axios versions 1.7.0 through 1.15.x did not enforce configured request and response size limits when requests were sent with the fetch adapter. Applications that selected adapter: 'fetch', or ran in environments where axios resolved to the fetch adapter, could receive or send bodies larger than maxContentLength or maxBodyLength despite those limits being explicitly configured. This can cause resource exhaustion in server-side usage when a malicious or compromised server returns an oversized response, when an attacker can supply a large data: URL, or when an application forwards attacker-controlled request bodies through axios while relying on maxBodyLength as a boundary. This vulnerability is fixed in 0.32.0 and 1.16.0.

Details NVD

CVE-2026-44496HIGH(7.5)

EPSS 0.7%

Axios is a promise based HTTP client for the browser and Node.js. Axios versions before 0.32.0 on the 0.x line and before 1.16.0 on the 1.x line build a regular expression from the configured XSRF cookie name without escaping regex metacharacters. In standard browser environments, an attacker who can influence the cookie name passed to axios can cause expensive regex backtracking while axios reads document.cookie. The practical impact is client-side availability degradation, such as freezing the affected browser tab while axios prepares a request. The issue does not affect ordinary Node.js HTTP adapter usage, React Native, or web workers, where axios does not read document.cookie. This vulnerability is fixed in 0.32.0 and 1.16.0.

Details NVD

CVE-2026-44487HIGH(7.5)

EPSS 0.7%

Axios is a promise based HTTP client for the browser and Node.js. Prior to 0.32.0 and 1.16.0, Axios’s Node.js HTTP adapter may forward a Proxy-Authorization header to a redirected origin during specific proxy-to-direct redirect flows. This affects Node.js usage, where an initial HTTP request is sent through an authenticated HTTP proxy, redirects are followed, and the redirected URL is no longer proxied. Under affected redirect shapes, the final origin can receive the proxy credential that was intended only for the outbound proxy. This vulnerability is fixed in 0.32.0 and 1.16.0.

Details NVD

CVE-2026-44486HIGH(7.5)

EPSS 0.7%

Axios is a promise based HTTP client for the browser and Node.js. Prior to 0.32.0 and 1.16.0, Axios’ Node.js HTTP adapter can leak proxy credentials to a redirect target in affected versions. When a request is sent through an authenticated proxy, Axios may add a Proxy-Authorization header. If Axios then follows a redirect and the redirected request is no longer sent through that proxy, the stale Proxy-Authorization header can remain on the redirected request and be sent to the redirect target. This affects Node.js's use of Axios with automatic redirects enabled and an authenticated proxy configuration. Browser adapters are not affected. This vulnerability is fixed in 0.32.0 and 1.16.0.

Details NVD

CVE-2026-44495HIGH(7.0)

EPSS 0.8%

Axios is a promise based HTTP client for the browser and Node.js. From 0.19.0 to before 0.31.1 and 1.15.2, Axios contains prototype-pollution gadgets in request config processing. If another vulnerability in the same JavaScript process has already polluted Object.prototype.transformResponse, affected Axios versions may treat that inherited value as request configuration or as an option validator. Axios does not itself create the prototype pollution. Exploitability requires a separate prototype-pollution vulnerability or equivalent attacker control over Object.prototype before Axios creates a request. This vulnerability is fixed in 0.31.1 and 1.15.2.

Details NVD

CVE-2018-16487

Nicht in lokaler DB — siehe NVD

NVD

CVE-2026-44489

Nicht in lokaler DB — siehe NVD

NVD

CVE-2026-44490

Nicht in lokaler DB — siehe NVD

NVD