Vulnerabilidade Authentication bypass (CVSS 9.8) no IBM API Connect afeta 10.0.8.x e 10.0.11.0

Imagine um cenário simples: uma empresa usa um gateway de APIs para controlar quem acessa serviços internos como consulta de saldo, dados de clientes ou integrações com parceiros. Se alguém consegue “pular” a etapa de login nesse sistema, o que era para ser um portão com catraca vira uma entrada liberada. É exatamente esse o tipo de risco que a IBM descreveu ao divulgar uma vulnerabilidade crítica no IBM API Connect, plataforma usada para criar, gerenciar e proteger APIs em ambientes cloud e on-premises.

A falha, identificada como CVE-2025-13915, recebeu nota 9,8/10 (crítica) e foi classificada como bypass de autenticação ou seja, pode permitir que hackers contornem mecanismos de autenticação e obtenham acesso não autorizado ao sistema remotamente. Segundo o boletim de segurança da IBM, o problema afeta as versões 10.0.8.0 a 10.0.8.5 e também a 10.0.11.0.

Quando um software tem um bypass de autenticação, existe a possibilidade de um invasor acessar recursos protegidos sem apresentar credenciais válidas. Em uma solução de gestão de APIs, isso pode ter impacto alto porque o API Connect costuma ficar no caminho de integrações críticas além de concentrar configurações, políticas, chaves e controles de acesso que sustentam aplicações e serviços.

Até o momento, não há confirmação pública de exploração ativa dessa vulnerabilidade “na prática” (o famoso in the wild). Mesmo assim, a recomendação é agir rápido: falhas críticas com bypass de autenticação costumam ganhar atenção do ecossistema assim que são divulgadas.

Versões afetadas

De acordo com a IBM e bases de referência do ecossistema, o alcance é o seguinte:

IBM API Connect 10.0.8.0 até 10.0.8.5

IBM API Connect 10.0.11.0

O que a IBM recomenda fazer agora

A IBM orienta clientes a aplicar um “interim fix” (correção temporária) disponibilizado via Fix Central, seguindo as instruções do pacote (incluindo arquivo de readme) e aplicando o fix conforme a versão instalada.

Como mitigação, para organizações que não conseguem instalar o fix imediatamente, a IBM recomenda desativar o “self-service sign-up” (auto-cadastro) no Developer Portal, quando essa função estiver habilitada medida que reduz a exposição ao vetor descrito pela empresa.

Via - THN