CERT Polska poinformował 9 lipca o wielu poprawkach komponentów IBM API Connect OnPrem i wskazał wśród nich SQL Injection CVE-2026-9074 w funkcji resetowania hasła. Dla polskich firm korzystających z platformy to powód, aby w przeglądzie bezpieczeństwa bramy API uwzględnić odzyskiwanie dostępu oraz odpowiedzialność za aktualizację zależnych komponentów.

Czy odpowiedź „platforma ma opiekuna” wystarczy, gdy trzeba wskazać osobę odpowiedzialną za sprawdzenie resetowania hasła? W poniedziałek 13 lipca proponujemy zacząć rozmowę o API Connect właśnie od tego pytania. Połóżmy obok komunikatu CERT Polska własny zakres utrzymania platformy i poszukajmy w nim funkcji odzyskiwania dostępu. Sprawdźmy, kto ma ją uwzględnić przy aktualizacji, kto potwierdzi wynik prac i komu zgłosić brak ustaleń. To pytania do przeglądu własnej organizacji; komunikat nie opisuje zachowania jej pracowników. Punktem wyjścia do analizy są poprawki obejmujące komponenty platformy oraz wskazana funkcja resetowania hasła. Zalecenia organizacyjne poniżej wyprowadzamy z tych informacji.

CVE-2026-9074 kieruje uwagę na odzyskiwanie dostępu

Jak podaje CERT Polska, wskazana podatność SQL Injection dotyczy funkcjonalności związanej z resetowaniem hasła. W przeglądzie API Connect potraktujmy więc odzyskiwanie dostępu jako osobny punkt do sprawdzenia. Przygotujmy dla niego opis zakresu kontroli, zamiast pozostawiać tę funkcję pod ogólnym hasłem bezpieczeństwa platformy.

Opis CVE-2026-9074 identyfikuje klasę błędu i funkcję, lecz komunikat nie przedstawia przebiegu konkretnego ataku. Skutki wykorzystania luki w danej firmie pozostają nieustalone. W ocenie własnego wdrożenia zachowajmy tę granicę: informację o podatności przypiszmy do źródła, a ocenę sytuacji firmy uzależnijmy od ustaleń dotyczących jej instalacji. Nie wpisujmy do raportu potwierdzonego incydentu na podstawie samego numeru CVE.

Dla resetowania hasła zaproponujmy sprawdzenie, czy zakres obsługi poprawek obejmuje tę funkcję oraz związane z nią komponenty. Poprośmy administratora o wskazanie rozpoznanych zależności w używanym wdrożeniu API Connect. Miejsca wymagające wyjaśnienia oznaczmy wprost, bez dopisywania architektury, której jeszcze nie potwierdzono.

Resetowanie hasła w API Connect powinno mieć własne miejsce w przeglądzie bezpieczeństwa i wskazaną osobę odpowiedzialną za sprawdzenie.

Zakres procedury porównajmy z zakresem poprawek

Informacja CERT Polska dotyczy wielu poprawek komponentów API Connect OnPrem. W proponowanym przeglądzie zestawmy ten zakres z firmową procedurą aktualizacji. Jeśli dokument mówi jedynie o utrzymaniu platformy, poprośmy jej opiekuna o wskazanie, jakie zadania obejmuje ten zapis. Uwzględnijmy w rozmowie funkcję resetowania hasła wymienioną w ostrzeżeniu.

Przy API Connect sprawdźmy również sposób zamykania zadania aktualizacyjnego. Jeżeli formularz zawiera tylko pole „wykonano”, poprośmy o uzupełnienie go o zakres zmiany i podstawę potwierdzenia jej wykonania. To proponowane kryterium odbioru prac. Komunikat CERT Polska nie daje podstaw do twierdzenia, że konkretna firma zaniedbała aktualizację albo pozostawiła odzyskiwanie dostępu poza procedurą.

Różnicę między zapisem a wykonaniem oceńmy na dokumentacji własnego wdrożenia API Connect. Przy każdym ustalonym zadaniu wskażmy wykonawcę i oczekiwane potwierdzenie wyniku. Gdy odpowiedzialność za zależny komponent pozostaje niejasna, zapiszmy to jako otwarte ustalenie wraz z osobą, która ma je wyjaśnić. Zakończenie przeglądu uzależnijmy od rozstrzygnięcia takich braków w przyjętym zakresie.

Właściciel platformy powinien uzgodnić odbiór aktualizacji

Dla osoby zarządzającej API Connect proponujemy odpowiedzialność za uzgodnienie całego zakresu prac. Poszczególne czynności firma może przypisać według własnej organizacji, ale przy zatwierdzaniu planu wymagajmy odpowiedzi, kto zbierze ich wyniki. W odbiorze uwzględnijmy poprawki komponentów i sprawdzenie działania odzyskiwania dostępu po zmianie.

Takie sprawdzenie funkcji API Connect zaplanujmy jako element odbioru użytkowego. Potwierdzenie wdrożenia odpowiednich poprawek zapiszmy osobno. Zaproponujmy dwa wyraźne pytania: co zaktualizowano oraz jaki wynik dało sprawdzenie resetowania hasła? Dla każdego ustalmy oczekiwany dowód wykonania pracy. Przy niepełnej odpowiedzi pozostawmy zadanie do wyjaśnienia przed zatwierdzeniem wyniku.

Koszt i czas prac dla konkretnej instalacji API Connect nie wynikają z podanych informacji. Poprośmy więc wykonawcę o oszacowanie ich dla uzgodnionego zakresu, z uwzględnieniem zależnych komponentów. Właścicielowi platformy przedstawmy również nierozstrzygnięte sprawy wymagające jego decyzji. Nie przypisujmy firmie kwoty straty ani czasu niedostępności, których nie ustalono.

Odbiór prac nad API Connect uzależnijmy od potwierdzenia zakresu aktualizacji oraz wyniku sprawdzenia odzyskiwania dostępu.

Polski komunikat przełóżmy na zadanie dla własnej firmy

Dla polskiego odbiorcy punktem odniesienia jest komunikat CERT Polska z 9 lipca. Do zadania dotyczącego API Connect dołączmy ten materiał, aby administrator i właściciel platformy pracowali na wspólnej podstawie. W opisie zaznaczmy, że przegląd ma objąć funkcję resetowania hasła i zależne komponenty. Tak określmy oczekiwany zakres odpowiedzi.

W komunikacji z zarządem zachowajmy rozróżnienie między ostrzeżeniem CERT Polska a stanem firmowego wdrożenia. Pierwsze uzasadnia rozpoczęcie weryfikacji, drugie wymaga potwierdzenia przez odpowiedzialnych za instalację. Jeśli aktualny status prac jest nieznany, użyjmy takiego określenia i wskażmy osobę mającą go ustalić. Informację o zamknięciu zadania poprzyjmy uzgodnionymi wynikami kontroli.

Na poniedziałkowy przegląd API Connect przygotujmy krótką notatkę z zakresem, odpowiedzialnymi osobami i brakującymi ustaleniami. Proponujemy przekazać ją właścicielowi platformy do rozstrzygnięcia kolejnych działań. Dzięki tak określonemu zadaniu będzie mógł ocenić, jakich odpowiedzi potrzebuje przed akceptacją prac dotyczących aktualizacji i odzyskiwania dostępu.

Co z tym zrobić w poniedziałek

Każdy punkt ogranicz do 30 minut wstępnej pracy nad jednym wdrożeniem API Connect. Pełną aktualizację i sprawdzenie jej wyniku zaplanuj według ustalonego zakresu.

  1. Sprawdź zakres utrzymania. Otwórz dostępną dokumentację API Connect i odszukaj resetowanie hasła oraz zależne komponenty. Zapisz potwierdzone ustalenia. Przy brakach wskaż pytanie do administratora; wynikiem tego kroku ma być lista do dalszego wyjaśnienia.
  2. Ustal status obsługi poprawek. Zestaw komunikat CERT Polska z dostępnym zgłoszeniem aktualizacyjnym dla wybranej instalacji. Odnotuj zakres prac, ich status i odpowiedzialnego. Jeśli tych danych brakuje, przygotuj zgłoszenie o ich ustalenie.
  3. Zapisz warunki odbioru. Przygotuj dla właściciela API Connect propozycję potwierdzenia aktualizacji oraz sprawdzenia resetowania hasła po zmianie. Wskaż oczekiwany wynik każdego zadania i osobę, z którą trzeba uzgodnić jego wykonanie.

Przegląd bezpieczeństwa API Connect powinien obejmować odzyskiwanie dostępu wraz z zależnymi komponentami. Wymagajmy, aby odpowiedzialność za ten zakres była widoczna w planie aktualizacji i przy odbiorze prac. Funkcji resetowania hasła nadajmy równie konkretne kryteria sprawdzenia jak pozostałym elementom objętym przeglądem bramy API.

Źródła

Redakcja cyberinsight.pl.