IBM heeft tien kwetsbaarheden verholpen in IBM Guardium Data Protection, de tool waarmee organisaties databaseverkeer monitoren en ongeautoriseerde toegang tot gevoelige data moeten opsporen. Het NCSC meldt de patches in advisory NCSC-2026-0433 van 16 oktober 2026; ze treffen versies 12.0, 12.1 en 12.2 en zitten allemaal in de Sniffer-component, het onderdeel dat databaseprotocollen op het netwerk afluistert.
De twee zwaarste fouten scoren beide 9.8 op de CVSS-schaal. CVE-2026-75875 is een path traversal-kwetsbaarheid die kan leiden tot het op afstand uitvoeren van code, zonder dat een aanvaller hoeft in te loggen. CVE-2026-80381 is een SQL-injectiekwetsbaarheid, eveneens zonder authenticatie te misbruiken. Daarnaast verhelpt IBM nog een SQL-injectiefout (CVE-2026-81932, 8.6) en een reeks buffer- en heap-overflows in onder meer de MongoDB-protocolparser en de TDS PRELOGIN-pakketdecoder van de Sniffer, met scores tussen 7.5 (CVE-2026-84875) en 8.1 (CVE-2026-84035, CVE-2026-84058, CVE-2026-84198, CVE-2026-84246 en CVE-2026-82895). Een aanvaller kan deze combinatie van fouten gebruiken om zonder authenticatie willekeurige code uit te voeren, bij de gemonitorde data te komen of die te manipuleren, en om denial-of-service te veroorzaken.
IBM biedt de oplossing via een losse Sniffer-patch, te vinden via Fix Central onder de naam SqlGuard_12.0p4018_SnifferUpdate, met varianten per versielijn. Omdat de Sniffer een apart te patchen onderdeel is, hoeft een upgrade van de rest van Guardium hiervoor niet te wachten. Het NCSC vermeldt geen aanwijzingen dat een van de tien kwetsbaarheden al actief wordt misbruikt.
Voor beheerders van databasebeveiliging en compliance-teams die Guardium inzetten om te kunnen aantonen wie bij welke data komt, is dit een fout met een vervelende bijsmaak: de Sniffer-component heeft per ontwerp al zicht op databaseverkeer, en een aanvaller die deze kwetsbaarheden combineert, krijgt mogelijk toegang tot precies de gevoelige data die Guardium juist moet beschermen. Zoek de Sniffer-patch op voor de eigen versielijn via Fix Central en plan die met voorrang in, ook al vereist een deel van de fouten doorgaans alleen netwerktoegang tot de Sniffer-component en geen authenticatie. Controleer daarnaast of de Sniffer alleen verkeer verwerkt van databasesegmenten die daadwerkelijk gemonitord moeten worden; een krappere netwerkscope beperkt meteen het aantal aanvalsvectoren.
Bron: NCSC-NL Advisories
Wat betekent dit voor jouw bedrijf?
Zet u Guardium in voor databasebeveiliging of compliance? Zoek de Sniffer-patch op voor uw versielijn (12.0, 12.1 of 12.2) via Fix Central en plan die met voorrang in; beperk ook het netwerksegment waaruit de Sniffer verkeer verwerkt.
Blijf op de hoogte
Meld je aan voor de nieuwsbrief: spoedalerts bij kritieke dreigingen en een wekelijks overzicht. Geen mail achterlaten? Volg ons dan via RSS.