CVE-2026-16169: уязвимость отказа в обслуживании в IBM DataPower Gateway

Исследователи безопасности сообщили об уязвимости CVE-2026-16169 в продукте IBM DataPower Gateway — платформе, широко применяемой для защиты API, интеграции сервисов и управления трафиком на границе корпоративной инфраструктуры. Проблема относится к классу неконтролируемого потребления ресурсов и позволяет злоумышленнику нарушить нормальную работу устройства или сервиса.

Подробности

Уязвимость затрагивает IBM DataPower Gateway версий 11.0.0.0–11.0.0.2. Согласно описанию, удалённый атакующий может вызвать отказ в обслуживании (denial of service) за счёт неконтролируемого расхода ресурсов. Такой сценарий обычно приводит к исчерпанию памяти, процессорного времени или иных системных ресурсов, что делает шлюз недоступным для легитимных пользователей и может нарушить работу зависимых сервисов.

Уязвимости присвоен базовый балл CVSS 7.5, что соответствует высокому уровню критичности. Для эксплуатации не требуется аутентификация или локальный доступ — достаточно сетевого взаимодействия с уязвимой системой. Сведения о наличии публичных эксплойтов в записи CVE не приводятся, однако высокий балл и условия эксплуатации требуют оперативной реакции.

Поскольку DataPower Gateway часто размещается на периметре и обрабатывает внешний трафик, успешная атака может затронуть не только сам шлюз, но и связанные с ним приложения и микросервисы, что повышает потенциальный ущерб для бизнеса.

Что делать

Рекомендуется в первую очередь проверить, используются ли в инфраструктуре версии IBM DataPower Gateway 11.0.0.0–11.0.0.2, и при подтверждении — установить актуальное обновление или исправление, выпущенное вендором. Перед обновлением следует ознакомиться с официальными рекомендациями IBM и учитывать совместимость с текущими конфигурациями.

Если немедленное обновление невозможно, в качестве временных мер можно ограничить сетевой доступ к интерфейсам управления и сервисам шлюза, применять фильтрацию трафика и правила межсетевого экрана, а также настроить мониторинг аномального потребления ресурсов (память, ЦП, число соединений). Это не устраняет уязвимость, но снижает вероятность и последствия эксплуатации.

Итог: CVE-2026-16169 — высококритичная уязвимость отказа в обслуживании в IBM DataPower Gateway 11.0.0.0–11.0.0.2. Организациям, использующим этот продукт, следует как можно скорее применить обновления и усилить контроль доступа к шлюзу.

Источник: CVE Project (cvelistV5)