CVE-2026-6715: command injection critica in IBM Concert, come verificare e mitigare

CVE-2026-6715 è una vulnerabilità di tipo OS command injection in IBM Concert, dalla versione 1.0 alla 3.0.1.1. Ha un punteggio CVSS 9.8, gravità critica, e permette a un attaccante remoto non autenticato di eseguire comandi arbitrari sul sistema operativo con i privilegi del servizio. Non risulta ancora sfruttata attivamente secondo il catalogo CISA KEV, ma la combinazione di accesso via rete, nessuna autenticazione richiesta e impatto totale la mette tra le priorità assolute. Se usi IBM Concert, verifica subito versione ed esposizione e applica l'aggiornamento indicato da IBM.

Cosa è successo: la vulnerabilità CVE-2026-6715 in IBM Concert

La descrizione ufficiale è chiara: IBM Concert incorpora dati forniti dall'utente in un comando del sistema operativo senza una validazione o sanificazione adeguata. In pratica, un input costruito ad arte viene passato a una shell di sistema e interpretato come comando. È la classica OS command injection, una delle categorie di difetto più gravi perché salta ogni logica applicativa e arriva direttamente al sistema sottostante.

La vulnerabilità è stata pubblicata l'8 novembre 2026 su NVD. Non sono pubblici, al momento, dettagli sul componente esatto o sull'endpoint coinvolto: questi vanno verificati sull'advisory del produttore.

Chi è colpito: versioni vulnerabili di IBM Concert

Secondo la descrizione ufficiale sono vulnerabili tutte le versioni di IBM Concert da 1.0 a 3.0.1.1 incluse. Questo copre l'intera linea di release fino a quel punto, quindi ogni installazione non aggiornata oltre la 3.0.1.1 va considerata esposta.

IBM Concert è una piattaforma di gestione e osservabilità delle applicazioni: in una PMI o in uno studio raramente è installata direttamente, ma può essere presente presso fornitori IT, hosting gestiti o integratori che la usano per monitorare i sistemi dei clienti. Se un tuo fornitore la utilizza, chiedi conferma della versione in uso.

Quanto è grave: punteggio CVSS e sfruttamento attivo

Il vettore è CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H. Tradotto:

• AV:N: attaccabile dalla rete, senza accesso locale.
• AC:L: complessità bassa, nessuna condizione particolare da soddisfare.
• PR:N e UI:N: nessuna credenziale e nessuna azione dell'utente richiesta.
• C:H, I:H, A:H: impatto alto su confidenzialità, integrità e disponibilità.

Il risultato è una remote code execution (RCE) con i privilegi del servizio IBM Concert. Se il servizio gira con privilegi elevati, l'attaccante li eredita. Da lì può leggere configurazioni e segreti, installare software persistente, muoversi lateralmente verso i sistemi che Concert monitora o a cui si collega.

Al momento CVE-2026-6715 non è presente nel catalogo CISA KEV, quindi non risulta sfruttata in attacchi noti. Questo non riduce l'urgenza: per difetti con questo profilo gli exploit pubblici tendono a comparire rapidamente dopo la divulgazione.

Come capire se sei esposto: verifica versione, esposizione e log

Verifica della versione di IBM Concert

• Accedi all'interfaccia web di IBM Concert con un account amministrativo e controlla la sezione informazioni o impostazioni di sistema, dove è riportata la versione installata.
• Se l'installazione è containerizzata, controlla il tag dell'immagine in esecuzione dal gestore dei container o dai manifest di deploy.
• Se la gestisce un fornitore, chiedi per iscritto la versione in uso e la data dell'ultimo aggiornamento.

Verifica dell'esposizione in rete

• Controlla sul firewall perimetrale se esistono regole di port forwarding o NAT verso l'host di IBM Concert.
• Dall'esterno della rete aziendale (ad esempio da una connessione mobile) prova a raggiungere l'indirizzo pubblico sulla porta usata dall'interfaccia: se risponde, il servizio è esposto a internet.
• Verifica se l'accesso è pubblicato tramite reverse proxy o gateway applicativo e con quali regole.

Log e indicatori di compromissione

• Nei log del server web o del reverse proxy davanti a Concert, cerca richieste con caratteri tipici del concatenamento di comandi (punto e virgola, barre verticali, parentesi con il simbolo del dollaro) in parametri che normalmente contengono valori semplici.
• Sull'host, cerca processi figli inattesi avviati dal servizio Concert, in particolare interpreti di comandi o strumenti di rete lanciati dall'utente del servizio.
• Controlla connessioni in uscita verso indirizzi sconosciuti dall'host, nuove attività pianificate, nuovi utenti locali o chiavi di accesso aggiunte.
• Confronta gli orari: picchi di richieste anomale dopo l'8 novembre 2026 meritano attenzione.

Come risolvere la vulnerabilità CVE-2026-6715: patch, aggiornamento e rimedio

La descrizione ufficiale indica come vulnerabili le versioni fino alla 3.0.1.1. La versione corretta e la disponibilità del fix vanno verificate sull'advisory di sicurezza di IBM relativo a CVE-2026-6715 e sulla pagina di supporto del prodotto: non riporto qui un numero di versione che non è confermato dalle fonti.

Procedura consigliata:

1. Consulta l'advisory IBM e individua la release o la fix pack che chiude CVE-2026-6715.
2. Fai un backup completo di configurazione e dati prima dell'aggiornamento.
3. Applica l'aggiornamento seguendo la procedura del produttore per la tua modalità di installazione (software tradizionale o container).
4. Dopo l'aggiornamento, verifica di nuovo la versione mostrata dall'interfaccia e riesegui i controlli sui log.

Se la patch non è ancora disponibile per la tua versione, applica le mitigazioni della sezione seguente e tieni monitorato l'advisory.

Cosa fare subito: mitigazioni e hardening per IBM Concert

In ordine di priorità:

1. Togli l'esposizione a internet. Se l'interfaccia di Concert è raggiungibile dall'esterno, chiudi la pubblicazione e consenti l'accesso solo tramite VPN o da rete interna.
2. Limita gli accessi in ingresso. Sul firewall, consenti il traffico verso l'host solo da indirizzi e reti che devono davvero usarlo.
3. Segmenta. Metti l'host in una VLAN dedicata e limita le connessioni in uscita verso il resto della rete e verso internet allo stretto necessario.
4. Riduci i privilegi. Verifica con quale utente gira il servizio: se è amministrativo, valuta con il fornitore se può essere ridotto.
5. Ruota le credenziali. Se l'host era esposto, cambia le credenziali e le chiavi di integrazione configurate in Concert, perché un attaccante con esecuzione di comandi può averle lette.
6. Aumenta il logging. Attiva o estendi i log del reverse proxy e dell'host e inviali a un sistema esterno, così restano leggibili anche se l'host viene compromesso.

Queste misure non sostituiscono l'aggiornamento: riducono la superficie d'attacco finché la patch non è applicata.

Se sospetti una compromissione: incident response e analisi forense

Se trovi indicatori sospetti, la priorità è non distruggere le prove. Nella mia attività di perito informatico forense vedo spesso che il primo gesto istintivo, spegnere o reinstallare, cancella proprio ciò che servirebbe per capire cosa è successo.

• Non spegnere l'host. Isolalo dalla rete a livello di switch o firewall, mantenendolo acceso.
• Preserva log e memoria. Copia i log del proxy, del servizio e del sistema su un supporto separato; se possibile, acquisisci la memoria volatile prima di qualsiasi altro intervento.
• Copia forense. Un'acquisizione forense del disco, con hash e catena di custodia, consente un'analisi ripetibile e utilizzabile in sede legale o assicurativa.
• Valuta la notifica. Se sono coinvolti dati personali, il GDPR prevede la notifica al Garante entro 72 ore dalla presa di coscienza della violazione; se rientri nel perimetro NIS2, valgono gli obblighi di notifica previsti da quella disciplina.

Per le prime ore ho descritto una procedura operativa nell'articolo su cosa fare nelle prime 24 ore in caso di malware in azienda: i principi valgono anche qui. Un intervento di incident response, nel mio listino, va da 1.500 a 6.000 euro, con preventivo a prezzo fisso.

Fonti ufficiali su CVE-2026-6715

• Record CVE-2026-6715 sul National Vulnerability Database (NVD), che riporta descrizione, vettore CVSS e versioni interessate.
• Catalogo Known Exploited Vulnerabilities di CISA, da consultare per verificare se la vulnerabilità viene aggiunta tra quelle sfruttate.
• Advisory di sicurezza IBM per IBM Concert, l'unica fonte autorevole per versione corretta e procedura di aggiornamento.

Hai bisogno di una verifica?

Se usi IBM Concert, direttamente o tramite un fornitore, e vuoi un controllo indipendente su esposizione, versione e indicatori di compromissione, posso occuparmene da remoto per clienti in tutta Italia e di persona a Varese, Como e Milano. Trovi i dettagli dei miei servizi di cybersecurity e incident response, puoi chiedere un preventivo gratuito con risposta entro 24 ore oppure scrivermi dalla pagina contatti, anche su WhatsApp.