IBM heeft een omvangrijk pakket beveiligingsproblemen opgelost in DataPower Gateway, het appliance dat bedrijven inzetten als API-gateway en integratielaag tussen applicaties. Het NCSC meldt in advisory NCSC-2026-0431 van 16 oktober 2026 dat de update de releaselijnen 10.5.0, 10.6.0, 10.6CD en 11.0.0 raakt.
Het gaat om een ongewoon brede verzameling van meer dan 200 CVE’s, want IBM heeft de update niet alleen gebruikt om fouten in DataPower zelf te verhelpen, maar ook om een stapel eerder al gepubliceerde kwetsbaarheden in onderliggende onderdelen in één keer te verwerken, denk aan Linux-kernelcomponenten, OpenSSL en diverse Node.js-bibliotheken. De kwetsbaarheden omvatten onder meer use-after-free-fouten, race conditions, buffer overflows, null pointer dereferences, integer overflows en cryptografische fouten. Afhankelijk van de specifieke fout kan een aanvaller hiermee, met of zonder authenticatie, willekeurige code uitvoeren, een denial-of-service veroorzaken, cross-site scripting toepassen of autorisatiecontroles omzeilen.
Een van de verholpen onderdelen is bijvoorbeeld de bibliotheek http-proxy-middleware, waarin CVE-2026-55602 (CVSS 8.6) een aanvaller via een gemanipuleerde Host-header een verzoek naar een onbedoelde achterliggende server kan laten sturen. Voor dat onderdeel geldt: DataPower 10.5.0 is kwetsbaar tot en met 10.5.0.22 en gepatcht in 10.5.0.23, 10.6.0 is kwetsbaar tot en met 10.6.0.10 en gepatcht in 10.6.0.11, en zowel 11.0.0 als 10.6CD zijn kwetsbaar tot de fix in 11.0.0.3. IBM verwijst voor de overige componenten naar negen aparte ondersteuningspagina’s, telkens met eigen details per subcomponent. Workarounds zijn er niet: voor vrijwel alle onderdelen in deze update geldt dat upgraden de enige manier is om het risico weg te nemen.
Voor beheerders van een API-gateway- of integratieplatform is het devies: probeer niet individuele CVE’s uit te pluizen, maar upgrade naar de nieuwste fix pack van de eigen releaselijn. IBM heeft de onderliggende componenten al voor u gebundeld, dus een upgrade naar 10.5.0.23, 10.6.0.11 of 11.0.0.3 verhelpt in één keer het grootste deel van deze lijst. Plan wel een testronde in een acceptatieomgeving, want DataPower draait vaak maatwerkbeleid en -transformaties die gevoelig kunnen zijn voor wijzigingen in onderliggende bibliotheken. Draait u nog een releaselijn die niet in dit overzicht voorkomt, controleer dan bij IBM of die lijn nog wordt ondersteund: releases die het einde van hun levenscyclus naderen, krijgen dit soort verzamelupdates niet meer.
Bron: NCSC-NL Advisories
Wat betekent dit voor jouw bedrijf?
Beheert u DataPower als API-gateway of integratieplatform? Upgrade naar de nieuwste fix pack van uw releaselijn (10.5.0.23, 10.6.0.11 of 11.0.0.3) in plaats van losse CVE's na te jagen, en test eerst in een acceptatieomgeving vanwege eigen beleid en transformaties.
Blijf op de hoogte
Meld je aan voor de nieuwsbrief: spoedalerts bij kritieke dreigingen en een wekelijks overzicht. Geen mail achterlaten? Volg ons dan via RSS.