IBM corrige una vulnerabilidad crítica en IBM i que permite ejecutar código a través de la consola web del servidor HTTP
IBM ha publicado correcciones para CVE-2026-96119, un fallo de inyección de código con puntuación CVSS 9.9 que afecta a IBM i 7.3, 7.4, 7.5 y 7.6. Un atacante autenticado en remoto podría obtener información sensible o ejecutar código arbitrario en el sistema.
Qué ha pasado
IBM publicó el 12 de octubre de 2026 un boletín de seguridad sobre CVE-2026-96119, una vulnerabilidad en la interfaz gráfica de administración del servidor HTTP (HTTP Server Administration GUI) de IBM i. El problema se debe a una sanitización incorrecta de los datos en esa aplicación web, lo que se clasifica como control inadecuado de la generación de código (CWE-94, inyección de código).
Según el aviso de IBM, un atacante remoto que ya disponga de credenciales válidas podría aprovechar el fallo para obtener información sensible o ejecutar código arbitrario en el sistema. IBM le asigna una puntuación CVSS 3.1 de 9.9 (crítica), con vector AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H: se explota por red, con baja complejidad, sin interacción del usuario y con cambio de ámbito, es decir, el impacto puede desbordarse más allá del componente vulnerable.
El propio fabricante indica que no existen soluciones temporales ni mitigaciones alternativas, y recomienda aplicar la corrección de inmediato.
A quién afecta
El aviso de IBM identifica como afectadas las siguientes versiones del programa bajo licencia 5770-SS1:
- IBM i 7.6
- IBM i 7.5
- IBM i 7.4
- IBM i 7.3
Estado de la explotación
CVE-2026-96119 no figura en el catálogo KEV de CISA, por lo que no hay constancia pública de explotación activa. Tampoco se conoce ningún código de explotación publicado, y la vulnerabilidad aún no tiene puntuación EPSS asignada por FIRST.
Aun así, la combinación de una puntuación crítica, un vector explotable por red y la ausencia de mitigaciones aconseja tratar la corrección con prioridad alta. Conviene recordar que el fallo requiere autenticación previa: unas credenciales robadas o una cuenta interna comprometida bastarían para encadenar el ataque.
Qué hacer
IBM ha publicado PTF correctivos para todas las versiones soportadas. La recomendación es aplicarlos cuanto antes siguiendo la ventana de cambios habitual del sistema.
- IBM i 7.6: aplicar el PTF SJ11645
- IBM i 7.5: aplicar el PTF SJ11644
- IBM i 7.4: aplicar el PTF SJ11643
- IBM i 7.3: aplicar el PTF SJ11641
- Comprobar si la interfaz de administración del servidor HTTP está accesible desde redes no confiables y, en caso afirmativo, restringir el acceso a redes de gestión o VPN mientras se despliega el PTF
- Revisar y reducir las cuentas con acceso a la consola de administración HTTP, y verificar que usan autenticación robusta
- Si se ejecutan versiones de IBM i fuera de soporte, planificar la migración a una versión soportada y corregida, tal y como recomienda IBM
Contexto
La puntuación CVSS procede del propio IBM, que figura como fuente de la valoración en el boletín. La entrada correspondiente en NVD recoge la misma descripción y las mismas versiones afectadas.
IBM no ha detallado si la vulnerabilidad ha sido comunicada por un tercero ni si ha detectado intentos de explotación. Recomendamos suscribirse a las notificaciones de seguridad del fabricante para recibir posibles actualizaciones del boletín.
Fuentes
Tecnologías afectadas
Vulnerabilidades (1)
| CVE | Severidad | Explotación activa | Publicada | Estado NVD |
|---|---|---|---|---|
| CVE-2026-96119 | Crítica (9.9) | — | 12/10/2026 | Recibida |
Redactado automáticamente a partir de datos de NVD, CISA KEV y avisos de fabricante. Verifique siempre las versiones afectadas y los parches en el aviso oficial del fabricante antes de actuar.