IBM instó a los clientes a parchear una vulnerabilidad crítica de omisión de autenticación en su plataforma empresarial API Connect que podría permitir a los atacantes acceder a las aplicaciones de forma remota.
API Connect es una puerta de enlace de interfaz de programación de aplicaciones (API) que permite a las organizaciones desarrollar, probar y administrar API y proporcionar acceso controlado a servicios internos para aplicaciones, socios comerciales y desarrolladores externos.
Disponible en implementaciones locales, en la nube o híbridas. Conexión API es utilizado por cientos de empresas en los sectores bancario, sanitario, minorista y de telecomunicaciones.
Seguimiento como CVE-2025-13915 y con una calificación de gravedad de 9.8/10, esta falla de seguridad de omisión de autenticación afecta a las versiones de IBM API Connect 10.0.11.0 y 10.0.8.0 a 10.0.8.5.
La explotación exitosa permite a los actores de amenazas no autenticados acceder de forma remota a aplicaciones expuestas eludiendo la autenticación en ataques de baja complejidad que no requieren la interacción del usuario.
IBM pidió a los administradores que actualizaran las instalaciones vulnerables a la última versión para bloquear posibles ataques y proporcionó medidas de mitigación para aquellos que no pueden implementar inmediatamente las actualizaciones de seguridad.
«IBM API Connect podría permitir a un atacante remoto eludir los mecanismos de autenticación y obtener acceso no autorizado a la aplicación. IBM recomienda encarecidamente abordar la vulnerabilidad ahora mediante una actualización», dijo el gigante tecnológico. dicho. «Los clientes que no puedan instalar la solución provisional deben desactivar el registro de autoservicio en su Portal de desarrollador si está habilitado, lo que ayudará a minimizar su exposición a esta vulnerabilidad».
Las instrucciones detalladas para aplicar el parche CVE-2025-13915 en entornos VMware, OCP y Kubernetes están disponibles en este documento de soporte.
En los últimos cuatro años, la Agencia de Seguridad de Infraestructura y Ciberseguridad de EE. UU. (CISA) ha agregado múltiples vulnerabilidades de seguridad de IBM a su catálogo de vulnerabilidades explotadas conocidas, etiquetándolas como objeto de abuso activo en la naturaleza y ordenando a las agencias federales que protejan sus sistemas, según lo dispuesto por Directiva operativa vinculante (DBO) 22-01.
Dos de estos fallos de seguridad, un fallo de ejecución de código en IBM Aspera Faspex (CVE-2022-47986) y una falla de entrada no válida en IBM InfoSphere BigInsights (CVE-2013-3993), también han sido señalados por la agencia de ciberseguridad de EE. UU. como explotados en ataques de ransomware.
La IAM rota no es sólo un problema de TI: el impacto se extiende a toda su empresa.
Esta guía práctica cubre por qué las prácticas tradicionales de IAM no logran mantenerse al día con las demandas modernas, ejemplos de cómo es un «buen» IAM y una lista de verificación simple para construir una estrategia escalable.
