CVE-2026-12665 (CVSS 8.1): IBM MQ мог позволить удаленному злоумышленнику выполнить произвольный код из-за переполнения буфера стека при обработке сертификата TLS

Запись CVE, опубликованная ThreatInt, указывает, что фlaw, CVE-2026-12665, представляет собой переполнение буфера стека, которое происходит при обработке сертификатов TLS с неправильно сформированными различными именами во время установления соединения канала[1]. Согласно той же записи, IBM присвоила ему оценку HIGH: 8.1[1] CVSS, и она была опубликована 2026-10-19[1].В Threat Radar сообщается, что вектор CVSS предоставляет атаке сетевой вектор и Attack Complexity · High · Privileges Required · None · User Interaction · None[2]. VulDB придерживается более строгого мнения: в нём говорится, что она классифицирована как очень критическая[3] и что использование не требует никаких форм аутентификации.[3]Strix сообщает, что оценка взята из рекомендации IBM и что анализ NVD ожидается.[4]По словам TheHackerWire, на данный момент для CVE-2026-12665 не подтвержден никакой публичный код эксплуатации[5]. По словам издания, фlaw не зарегистрирована в каталоге Known Exploited Vulnerabilities (KEV) CISA[5].Hol сообщает, что бюллетень IBM содержит исправления в IBM MQ Operator v4.1.0[6], IBM MQ Operator v4.0.5[6] и IBM MQ Operator v3.2.30[6], помимо других выпусков. Согласно Hol, IBM настоятельно рекомендует применять последние образы контейнеров.[6]База данных Strix также содержит другие flaws IBM MQ, включая CVE-2026-12666, которые оценены в 8.1[4].