IBM Guardium Data Protection 12.2 tiene una vulnerabilidad de autenticación ausente identificada como CVE-2026-84078. El fallo reside en el LoadBalancerServlet y permite que un usuario no autenticado acceda directamente a operaciones privilegiadas del balanceador de carga. Sin credenciales. Esto representa un problema para la integridad y la disponibilidad, no solo para la confidencialidad.

Guardium es una plataforma de monitorización de actividad de datos. Las organizaciones la despliegan precisamente porque se supone que debe interponerse frente a datos sensibles y detectar accesos no autorizados. Cuando la propia herramienta de seguridad tiene un endpoint no autenticado que expone operaciones internas privilegiadas, la ironía resulta dolorosa, pero el riesgo es real. Un atacante que pueda alcanzar ese servlet a través de la red puede manipular el enrutamiento del tráfico o interrumpir la propia función de monitorización, que es exactamente lo que querría hacer un adversario que intente pasar desapercibido.

Lo que falló aquí es un control básico: autenticación antes de autorización. El LoadBalancerServlet era aparentemente accesible sin ninguna verificación de identidad. Esta es una clase de error que nunca debería superar la revisión de código en un producto de seguridad, pero ocurre, y es un recordatorio de que incluso sus herramientas de seguridad tienen su propia superficie de ataque. En mi experiencia, las plataformas de seguridad como DLP, DAM y SIEM reciben mucho menos escrutinio en los programas de gestión de vulnerabilidades que las aplicaciones que se supone deben proteger. Esa es una brecha que vale la pena cerrar.

Si ejecuta Guardium 12.2, su primer paso es la segmentación de red. Confirme que las interfaces de gestión y de capa de datos de Guardium no son accesibles desde las redes corporativas generales ni, peor aún, desde internet. Esto no corrige la vulnerabilidad, pero limita el radio de impacto mientras espera el parche. Revise sus reglas de firewall y la documentación de despliegue de Guardium para entender exactamente en qué puertos y rutas escucha el LoadBalancerServlet, y restrinja el acceso a esas rutas únicamente a los hosts de gestión conocidos.

Aplique el parche o la mitigación de IBM en cuanto esté disponible. Si IBM aún no ha publicado una corrección, abra un caso de soporte y pregunte explícitamente por medidas de mitigación provisionales, ya sea un filtro de servlet, una regla de WAF o un indicador de configuración. No asuma que el aviso llegará a usted. Búsquelo. Y mientras lo hace, audite qué otros endpoints expone su instancia de Guardium y si cada uno de ellos requiere autenticación. Un servlet no autenticado sugiere que puede haber otros.