CVE-2026-116499: fallo de gravedad alta en IBM Qiskit SDK
Arbitrary Code Execution in Qiskit SDK QPY Deserialization
Publicada el · Actualizada el
Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.
18Vexday Risk Score
Sin señal de explotación. Ningún artefacto público de explotación conocido hasta ahora.
ssvc Trackcvss 8.4
IBM Qiskit SDK 1.4.2 through 2.6.2 could allow a local attacker to execute arbitrary code due to deserialization of untrusted data.
CVSS:3.1/AV:L/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Productos afectados
IBM · Qiskit SDKCVEs relacionadas — IBM Qiskit SDK
En el mismo producto, de las más peligrosas a las menos.
CVE-2025-2000CRITICALQiskit SDK code executionEPSS 0.8%CVE-2025-1403HIGHQiskit SDK denial of serviceEPSS 0.7%CVE-2026-19795MEDIUMQiskit SDK is vulnerable when deserializing QPY Files and may overflow the available stack space.EPSS 0.3%CVE-2026-4870HIGHQiskit SDK is vulnerable to specific functions may recurse too deeply and overflow the available stack space, when encountering certain classical expressions.EPSS 0.3%CVE-2026-116501HIGHQiskit SDK C API may trigger an out of bounds write on accessing the unitary matrix with qk_circuit_inst_unitary().EPSS —CVE-2026-116500MEDIUMUnbound Recursion in QPY deserialization can lead to denial of serviceEPSS —