IBM Guardium Data Protection הוא מוצר שארגונים מתקינים כדי לראות מי ניגש למסדי הנתונים שלהם ומה הוא עושה שם. ב-8 באוקטובר 2026 נרשמו למוצר הזה 31 רשומות CVE ב-NVD, ביום אחד. הרשומה שקיבלה את הציון הגבוה ביותר, 9.8, יושבת דווקא ברכיב שקורא את התעבורה שהמוצר נועד לנטר.

סקירה כללית

כדי להבין את הגל הזה צריך לדעת איך Guardium בנוי. יש appliance מרכזי שנקרא Collector, ובתוכו רכיב שמאזין לתעבורת מסדי הנתונים ברשת ומפענח אותה כדי להבין איזו שאילתה נשלחה. IBM קוראת לרכיב הזה Sniffer. במקביל מותקן על שרתי מסדי הנתונים סוכן בשם S-TAP, שמעביר ל-Collector מה שהוא רואה.

שני הרכיבים חייבים לפרסר פרוטוקולים כמו TDS של Microsoft SQL Server או זה של MongoDB. וכאן הבעיה: מי ששולח את החבילות האלה הוא לא בהכרח לקוח לגיטימי. ארבע מהרשומות של 8 באוקטובר יושבות בקוד הפרסור הזה: מפרסר ה-LOGIN7 של TDS, מפענח ה-PRELOGIN, מפרסר פרוטוקול MongoDB, וההרכבה מחדש של חבילות התחברות ב-S-TAP ל-Windows. אף אחת מהארבע לא דורשת אימות.

מזהה: CVE-2026-82335
סוג: גלישת חוצץ בערמה (heap-based buffer overflow), CWE-787 לפי NVD
מוצר: IBM Guardium Data Protection, רכיב ה-Sniffer
גרסאות מושפעות: 12.0, 12.1, 12.2
גרסה מתוקנת: טלאי ה-Sniffer, SqlGuard_12.0p4018_SnifferUpdate
ניצול בפועל: לא, אינה ברשימת ה-KEV של CISA

ציר זמן

25.09 ו-29.09.2026: עשר רשומות CVE ראשונות ב-Guardium 12.2.
08.10.2026: IBM מפרסמת את הבולטינים על ה-Sniffer ועל סוכן ה-S-TAP ל-Windows, ו-31 רשומות CVE נרשמות ב-NVD באותו יום.
10.10.2026: NVD משלימה את הניתוח של CVE-2026-82335 ומדרגת אותה 9.8, מול 8.1 שנתנה IBM.

איך הניצול עובד

הניצול של CVE-2026-82335 מתחיל בשדה אחד. כשלקוח MongoDB מתחבר הוא שולח שם משתמש כחלק ממשא ומתן אימות שנקרא SCRAM, וה-Sniffer קורא אותו כדי לרשום מי התחבר. לפי NVD, שם משתמש באורך חריג גורם לכתיבה מעבר לחוצץ שהוקצה בערמה, והזיכרון שמעבר לו נדרס.

את החבילה הזאת לא צריך לשלוח לממשק הניהול של Guardium, וגם לא צריך פרטי אימות למסד הנתונים. בתיאור של CVE-2026-84058, חולשה אחרת באותו רכיב, IBM כותבת את זה במפורש: תוקף ששולח חבילת TDS PRELOGIN מעוצבת לרשת שה-Collector מנטר עלול להריץ קוד על ה-Collector עצמו. הרכיב שמאזין הוא היעד, כי הוא זה שמפרסר.

ניתוח ציון ה-CVSS

ציון CVSS: 9.8

הציון מגיע מצירוף אחד: בלי אימות, בלי שמשתמש ילחץ על משהו, והתוצאה היא הרצת קוד על רכיב שרואה את כל תעבורת מסדי הנתונים בארגון. IBM דירגה את אותה חולשה 8.1 בהנחה שהניצול מורכב, ו-NVD לא קיבלה את ההנחה.

איפה למצוא Proof of Concept (PoC)

לא פורסם PoC פומבי לאף אחת מהחולשות בגל הזה, וגם לא ניתוח עצמאי. מה שכן קיים הוא הבולטין של IBM, שמפרט לכל CVE את הרכיב הפגוע ואת סוג הכשל: הבולטין על רכיב ה-Sniffer. הבולטין המקביל מכסה את החולשות בסוכן עצמו: IBM, סוכן ה-S-TAP ל-Windows.

IBM כותבת שאין מעקפים ואין הקלות, ומי שמריץ Guardium 12.0 עד 12.2 צריך את שני הטלאים, של ה-Sniffer ושל ה-S-TAP.