IBM 于 2026 年 10 月 6 日发布安全公告，修复 IBM Security Verify Access 与 IBM Verify Identity Access 中的七个漏洞，公告随后在 10 月 8 日更新。其中 CVE-2026-78401 与 CVE-2026-78406 均为不可信数据反序列化缺陷，CVSS 9.8，未认证远程攻击者可通过网络提交特制数据触发任意代码执行。考虑到这两款产品本身就是企业统一身份与访问管理的核心网关，漏洞位置恰好落在系统的守门环节。
事件概述
本轮七个 CVE 覆盖两类产品线，受影响版本为 Security Verify Access 10.0 至 10.0.9.2、Verify Identity Access 11.0 至 11.0.3，以及相应版本的容器化部署。修复版本分别为 10.0.9.3 与 11.0.3.1，容器部署需按 IBM 文档同步更新。公开信息显示，相关漏洞目前尚未发现公开利用代码，也未进入 CISA KEV 目录。
技术细节
CVE-2026-78401 与 CVE-2026-78406（CVSS 9.8）：均为 CWE-502 不可信数据反序列化。系统在处理来自网络的数据流时未做充分校验就将其还原为对象，攻击者可构造恶意序列化载荷，在反序列化阶段触发任意代码执行，进而取得系统控制权。攻击不需要任何有效凭据，也不需要用户交互。
CVE-2026-16823 与 CVE-2026-19491（CVSS 9.1）：属于不当认证（CWE-287）缺陷，远程攻击者可借此绕过安全限制，越权执行本应受限的管理操作。
CVE-2026-16916（CVSS 9.1）：保护机制失效（CWE-693），攻击者在已认证前提下可执行任意代码。
CVE-2026-18740 与 CVE-2026-19482（CVSS 8.8）：均为参数注入（CWE-88），属于本轮中严重度相对较低但同样需要修补的两枚。
影响评估
身份与访问管理系统通常被部署为对外的统一登录门户，是所有受保护应用的前置关卡。一旦该环节被拿下，攻击者可以绕过认证、窃取凭据、篡改访问策略，并以之为跳板横向进入下游系统——这也是安全产品自身成为攻击面时风险被放大数倍的原因。即便实例只在内部网络可达，在攻击者已取得其他立足点的情况下同样构成威胁。当前虽无公开在野利用，但补丁一旦发布，攻击者往往会通过比对补丁快速定位并复现缺陷。
修复建议
- Verify Identity Access 升级至 11.0.3.1，Security Verify Access 升级至 10.0.9.3；容器化部署按官方文档同步更新镜像。
- 升级前梳理所有实例的可达性与业务重要性，明确 IAM 或基础设施团队的责任人。
- 修复期间对受影响系统的网络访问做限制，仅放行必要的可信来源。
- 审查身份与访问管理系统日志，排查异常的认证请求、管理操作与序列化数据流。
- 若怀疑已遭入侵，保留应用、数据库与身份相关日志后再变更，并按需轮换数据库与集成凭据。