IBM QRadar SIEMの部品に脆弱性153件 版を確認して修正版へ

IBMは2026年9月25日、「IBM QRadar SIEM」の部品の脆弱性を2件の告知で公開しました。SIEMは、社内の機器のログを集めて攻撃の兆しを見つける仕組みです。CVEは合わせて153件で、CVSS 9.8のものを含みます。

告知は3週間ほど前のもので、ドイツのCERT-Bundが10月16日(ドイツ時間)に注意情報を更新しました。これを機に、まだ版を上げていない会社に向けて確認の手順を整理します。IBMとRed Hatの公式のページ、CERT-Bund、米国CISAで確認した内容だけを書きます。

告知はいつのもので、なぜいま確認するのか

IBMの2件の告知は、どちらも2026年9月25日の初公開です。更新の履歴は「25 Sep 2026: Initial Publication」の1行だけです。

ドイツのBSI(連邦情報セキュリティ庁)のCERT-Bundは、2件をまとめた注意情報を出しています。番号はWID-SEC-2026-3595で、深刻度は「hoch」(高)です。初版は9月27日22:00(UTC)、ドイツ時間の9月28日です。

第2版は10月15日22:00(UTC)、ドイツ時間の10月16日付です。変更点は「Neue Updates von Red Hat aufgenommen」の1行です。Red Hatの新しい更新を加えた、という意味です。

加わったRHSA-2026:83082は、Red Hatの別の製品(Quarkus 3.27.6)の更新です。IBMの告知と重なるCVEは、JSONを扱う部品Jacksonと、圧縮の部品LZ4 Javaの各1件だけです。番号はCVE-2026-83557とCVE-2026-59949です。

QRadarに新しい脆弱性や修正が出た、という更新ではありません。ただ、SIEMは会社の防犯カメラの録画と見張りをまとめた部屋のようなものです。その部屋の鍵が古いままでは安心できないので、版を上げていない会社はこの機会に確認します。

2件の告知の中身

題は2件とも「Security Bulletin: IBM QRadar SIEM contains components with known vulnerabilities」です。違うのは文書番号と中身で、CVEの重なりはありません。IBMは2件とも、速やかな更新を強く勧めています。

告知は、対象の欄に載せるのはIBMがサポートしている版だけだと断っています。表にない古い版が影響を受けない、という意味ではないとも書いています。

7.6系は、告知ごとに直った版が違う

7.5系は、2件とも対象が7.5.0から7.5.0 UP16までで、直った版は7.5.0 UP16 IF01です。違うのは7.6系です。

7289579は、7.6.0.3も対象に含め、直った版を7.6.0.4としています。

7289581は、対象が7.6.0.2までで、直った版は7.6.0.3です。7289581だけを見て7.6.0.3に上げた会社は、7289579の106件の対象に残ります。

IBMのリリースのページでは、7.6.0.4は「QRadar 7.6.0 Fix Pack 4」という名前です。7.5.0 UP16 IF01は「QRadar 7.5.0 Update Package 16 Interim Fix 01」です。UPは更新のまとまり、IFは暫定の修正を指します。

更新の前に確認すること

どちらのリリースのページも、前の修正を含む累積の更新(cumulative software update)だと書いています。ページに書かれた前提のうち、作業の段取りに関わるものは次のとおりです。

• 7.6.0 Fix Pack 4の更新ファイル(SFS)は、7.6.0のFix Pack 1、2、3から上げられます
• 7.5.0 UP16 IF01の更新ファイルは、7.5.0 UP16から上げられます
• コンソール(全体を管理する機器)と、つながるすべての機器の版がそろっている必要があります
• 反映していない設定の変更があると、更新を入れられません
• 作業の前にバックアップを取り、更新ファイルを置く場所に5GBの空きを用意します
• 入手先はIBMの配布サイト(Fix Central)です。載っているSHA256の値と照らし合わせます

7.6.0でFix Packを当てていない場合や、7.5.0のUP15以前の上げ方は、ページに書かれていません。IBMか保守会社に確認します。

CVSS 9.0以上の20件は、どの部品のものか

CVSSは、脆弱性の深刻さを0から10で表す指標です。2件の告知で9.0以上のものは20件あり、部品は4種類です。

この20件の採点元は、Linuxカーネルが採番機関の「Linux」、Bouncy CastleがNVDです。Apache HTTP ServerとTomcatは、米国CISAの「CISA ADP」です。2件の告知に、IBMが採点した値はありません。

Bouncy Castleには、10月3日に公表され1.86で直った別の12件もあります。Javaの暗号部品Bouncy Castleに脆弱性12件 1.86で修正にまとめています。

これらの値は、部品そのものに付いた値です。QRadarの中でその機能が使われているかどうかは、告知に書かれていません。そのため、値が高い部品を「QRadarでは関係ない」と読む根拠も、告知からは得られません。

自社でApache HTTP ServerやTomcatを直接使っている場合は、Apache HTTP ServerとTomcatの記事も参考になります。

153件を部品ごとに見ると

表の「そのほか」の内訳は次のとおりです。部品の分け方は、告知の説明の文をもとにした編集部の整理です。

• 7289579: libxml2、Unbound(DNS)、Python、LZ4 Java、nghttp2、Linux-PAM、NetworkManager、attr、sg3_utils、urwid、AMDのCPU(Zen 2)、説明に部品の名前がないもの(CVE-2026-8286)
• 7289581: open-iscsi、libgcrypt、dracut

同じ日に出た、QRadarのアプリの告知3件

IBMは同じ9月25日に、QRadar SIEM向けのアプリの告知を3件出しています。近い文書番号(7289480から7289700)の題を確認したところ、QRadarを含む告知は本体の2件と、このアプリの3件でした。

3件とも回避策は「None」です。中身の多くは、AxiosやNext.js、undiciなど、JavaScriptの部品の脆弱性です。最も高い10.0は、3件に共通する、HTTPの通信の部品AxiosのCVE-2026-42043です。

アプリの版は、本体の版とは別に書かれています。本体を7.6.0.4に上げたかどうかとは別に、使っているアプリの版を確認します。3件のCVEは重なりを除いて150件で、本体の2件との重なりはありません。

悪用の状況

本体の2件の告知には、悪用されているかどうかの記載がありません。アプリの3件の要約にあるのは、脆弱な部品は自動のツールで見つけられ、悪用される恐れがあるという一般的な注意だけです。

米国のCISAは、悪用が確認された脆弱性の一覧(KEV)を公開しています。本体の153件とアプリの150件を照らし合わせたところ、KEVに載るものはありませんでした。確認したのは、2026年10月16日版のKEVです。

KEVに載っていないことは、悪用されていないことの証明ではありません。CERT-Bundは、悪用されると任意のコードの実行や権限の昇格、サービスの停止などが起きる恐れがあるとしています。回避策がないため、悪用の知らせがないことを理由に更新を待つ根拠は、告知からは得られません。

影響する会社・しない会社

• 影響する: QRadar SIEMの7.6.0から7.6.0.3を使っている会社。7.6.0.3の会社も、7289579の対象です
• 影響する: QRadar SIEMの7.5.0から7.5.0 UP16を使っていて、UP16 IF01を当てていない会社
• 影響する: SOC(セキュリティの監視)を委託していて、委託先がQRadarで監視している会社。版は委託先に聞かないと分かりません
• 影響する: QRadar SIEM向けのアプリ3種(上の表)を使っていて、版が対象に当たる会社
• 影響する可能性がある: サポートが切れた古い版のQRadarを使っている会社。告知の対象の欄には載りませんが、影響を受けないという意味ではありません
• 影響しない: 7.6.0.4か7.5.0 UP16 IF01を当て済みで、アプリも直った版にしている会社
• 影響しない: QRadarを使っていない会社。ただし、同じ部品を使うほかの製品は、それぞれの告知で確認します

情シスが今日やること

1. QRadarを使っているかを洗い出します。 資産台帳、セキュリティの運用の担当、SOCの委託契約、保守契約の機器一覧で確認します。機器が委託先の設備にある場合は、台帳に載っていないことがあります。
2. 本体とアプリの版を確認します。 本体の直った版は、7.6系が7.6.0.4、7.5系が7.5.0 UP16 IF01です。7.6.0.3はまだ7289579の対象で、アプリの直った版は上の表のとおりです。
3. 更新の日を決めます。 回避策がないため、直った版を当てる日を保守会社と決めます。作業の前に、リリースのページの前提(機器の版をそろえる、変更を反映する、バックアップ)を確認します。
4. 当てるまでの間、管理画面に届く経路を絞ります。 コンソールの管理画面を開ける端末やネットワークを、必要な範囲に限れるかを確認します。この絞り込みは編集部の補足で、告知に書かれたことではありません。
5. 当てた後の版を記録します。 当てた版と日付を資産台帳に残します。IBMの「My Notifications」に登録すると、新しい告知の知らせを受け取れます(告知のページの案内)。

SOCを委託している会社の確認の仕方

SOCは、ログを見張って攻撃に気づく役割の組織やサービスです。委託先がQRadarで監視している場合、版を上げる作業は委託先か、その保守会社が受け持つことが多くあります(編集部の整理)。まず、契約書やサービスの説明書で、監視に使っているSIEMの製品名を確認します。

製品名が書かれていなければ、委託先に聞きます。次の聞き方は、告知とリリースのページにある内容から作った編集部の整理です。答えは文書で返してもらいます。

• 当社向けの監視に使っているSIEMは何か。QRadarなら、版(7.5.0のUP番号か、7.6.0のFix Pack番号)は何か
• 機器は当社の中にあるか、御社の設備にあるか
• IBMが9月25日に出した告知2件(文書番号7289579、7289581)の対象に当たるか
• 7.6.0.4か7.5.0 UP16 IF01を、いつ当てたか。まだなら、いつ当てるか
• QRadarのアプリ(Pre-Validation App、QRadar Deployment Intelligence App、Analyst Workflow App)を使っているか。使っていれば、その版は何か
• 更新の作業で、監視が止まる時間はあるか。その間の見張りはどうするか
• 当てた後の版を、いつ、どの方法で知らせてもらえるか

同じIBMの製品の部品の告知は、IBM DataPower Gatewayの記事でも扱っています。