O IBM Guardium Data Protection 12.2 possui uma vulnerabilidade de autenticação ausente rastreada como CVE-2026-84078. A falha reside no LoadBalancerServlet e permite que um usuário não autenticado acesse diretamente operações privilegiadas do load balancer. Nenhuma credencial é necessária. Isso representa um problema para a integridade e a disponibilidade, não apenas para a confidencialidade.

O Guardium é uma plataforma de monitoramento de atividade de dados. As organizações o implantam especificamente porque ele deveria atuar como uma barreira diante de dados sensíveis e detectar acessos não autorizados. Quando a própria ferramenta de segurança possui um endpoint não autenticado expondo operações internas privilegiadas, a ironia é dolorosa, mas o risco é real. Um atacante que consiga alcançar esse servlet pela rede pode manipular o roteamento de tráfego ou interromper a própria função de monitoramento, que é exatamente o que um adversário tentando permanecer oculto desejaria fazer.

O que falhou aqui é um controle básico: autenticação antes da autorização. O LoadBalancerServlet aparentemente era acessível sem nenhuma verificação de identidade. Essa classe de bug jamais deveria passar por uma revisão de código em um produto de segurança, mas acontece, e serve de lembrete de que até mesmo suas ferramentas de segurança carregam sua própria superfície de ataque. Na minha experiência, plataformas de segurança como ferramentas de DLP, DAM e SIEM recebem muito menos escrutínio nos programas de gestão de vulnerabilidades do que as aplicações que deveriam proteger. Essa é uma lacuna que vale a pena corrigir.

Se você está executando o Guardium 12.2, seu primeiro passo é a segmentação de rede. Confirme que as interfaces de gerenciamento e de camada de dados do Guardium não estão acessíveis a partir de redes corporativas gerais ou, pior ainda, da internet. Isso não corrige a vulnerabilidade, mas limita o raio de explosão enquanto você aguarda um patch. Verifique suas regras de firewall e a documentação de implantação do Guardium para entender exatamente em quais portas e caminhos o LoadBalancerServlet escuta, e então restrinja o acesso a esses caminhos apenas a hosts de gerenciamento conhecidos.

Aplique o patch ou a mitigação da IBM assim que estiver disponível. Se a IBM ainda não publicou uma correção, abra um chamado de suporte e pergunte explicitamente sobre soluções paliativas temporárias, seja um filtro de servlet, uma regra de WAF ou um flag de configuração. Não assuma que o advisory chegará até você. Vá atrás dele. E enquanto estiver nisso, audite quais outros endpoints sua instância do Guardium expõe e se cada um deles exige autenticação. Um servlet não autenticado sugere que pode haver outros.