フランスのCERT-FRは2026年10月16日、IBMが10月8日から15日に出したセキュリティ告知26件を、注意情報CERTFR-2026-AVI-1336にまとめました。中心は、業務のJavaアプリを動かすWebSphere Application Serverの12件です。IBMの26件の告知を読み、製品ごとの対象の版と直った版を確かめました。
26件の告知の内訳
| 製品 |
告知の数 |
CVE |
最も高いCVSS |
直った版 |
| WebSphere Application Server(従来版とLiberty) |
12件 |
15件 |
9.8 |
暫定の修正(iFix)。Fix Packは第4四半期の予定 |
| QRadar SIEM(本体・HTTP Receiver・AQL Plugin) |
3件 |
140件 |
9.8 |
7.6.0.5、7.5.0 UP16 IF02 ほか |
| Sterling(4製品) |
5件 |
253件 |
9.8 |
製品ごと(下の表) |
| Db2(3製品) |
5件 |
74件 |
9.8 |
製品ごと(下の表) |
| AIX 7.3(libcurl) |
1件 |
6件 |
9.8 |
暫定の修正 |
CVEの数は、告知の「Vulnerability Details」に載るものを、製品ごとに重なりを除いて数えました。全体で重なりを除くと478件です。米国CISAのKEV(悪用が確認された脆弱性の一覧)と照らし合わせたところ、載るものはありませんでした(2026年10月16日版)。26件の告知にも、悪用の記載はありません。
WebSphereは12件、直す版はまだ出ていない
WebSphere Application Serverの告知は12件で、どれも10月13日に初公開です。従来版(traditional)の8.5と9.0に当たるものが7件、Liberty(軽い版)に当たるものが10件あります(両方に当たるものを含む)。
| CVE |
CVSS |
中身(告知の説明の要約) |
従来版 |
Liberty(必要な機能) |
| CVE-2026-68536 |
9.8 |
Apache MyFacesのSSRF・ファイルの読み込み(ほかにDoSのCVE-2026-76646・7.5) |
対象 |
jsf・faces系 |
| CVE-2026-93895 |
9.1 |
gRPCのサービスに設定したアクセスの制限を、認証なしで回避(ほかに7.4と6.5の2件) |
対象外 |
grpc-1.0(20.0.0.12以降) |
| CVE-2026-93909 |
9.1 |
SAMLの認証の回避(セッションの固定) |
対象外 |
samlWeb-2.0 |
| CVE-2026-101294 |
8.7 |
暗号の署名の確認の回避 |
対象 |
openidConnect・socialLogin・jwt系 |
| CVE-2026-105443 |
8.2 |
同じインストールを共有するサーバーの間の分離の不足 |
対象外 |
restConnector |
| CVE-2026-93905 |
8.2 |
認証なしでバッチのジョブの状態を壊せる |
対象外 |
batchManagement-1.0 |
| CVE-2026-93907 |
8.1 |
CSIv2の処理の不備による認証の回避 |
対象 |
なし |
| CVE-2026-95680 |
8.0 |
認証済みの攻撃者が、セル全体で管理者になりすます |
対象 |
なし |
| CVE-2026-103499、CVE-2026-105442、CVE-2026-17615、CVE-2026-84375 |
各7.5 |
サービス妨害3件と、RESTEasyのXXE(外部のファイルの読み取り) |
3件が対象 |
servlet・messaging・restfulWS・apiDiscovery |
Libertyは、使っている機能(feature)によって対象かどうかが変わります。IBMは、機能が有効かどうかの確かめ方のページを告知から案内しています。
WebSphere LibertyのSAML認証回避の告知(7292236)の対象と直し方出典: IBM Support(引用)
直す方法は、12件とも同じ形です。告知のAPAR番号の暫定の修正(Interim Fix)を、必要な前提の版に上げてから当てます。もう1つの方法のFix Pack(8.5.5.32、9.0.5.30、Libertyの26.0.0.11)は、どれも「2026年第4四半期に提供予定」です。回避策は12件とも「None」です。
QRadar SIEMは7.6.0.4も対象に
QRadar SIEMの本体の告知(文書番号7292240)は10月13日に公開されました。対象は7.6.0.0から7.6.0.4と、7.5.0から7.5.0 UP16 IF01です。直った版は7.6.0.5と7.5.0 UP16 IF02で、回避策は「None」です。
QRadar SIEMの告知(7292240)の対象の版・直った版・回避策出典: IBM Support(引用)
CVEは134件で、Linuxカーネルが55件、PostgreSQLが25件と多くを占めます。CVSS 9.0以上は25件で、うち19件がLinuxカーネルです。IBMが自ら採点したQRadarの脆弱性も1件あります(CVE-2026-93442・8.2・範囲外の読み取り)。
9月の告知で直った版だった7.6.0.4と7.5.0 UP16 IF01も、今回は対象に入りました。9月の告知の中身はIBM QRadar SIEMの部品に脆弱性153件 版を確認して修正版へにまとめています。
同じ日に、ほかに2件が出ています。
- HTTP Receiver(HTTPでログを受け取る仕組み): CVE-2026-93441(8.6・サービス妨害)。7.5用と7.6用の新しいRPMで直り、自動更新が有効なら自動で当たります
- Log Management AQL Plugin: 1.0.0から1.1.9が対象で、1.1.10で直ります(CVE 5件・最高8.7)
Sterling・Db2・AIXの直った版
| 製品 |
告知(IBMの初公開日) |
対象の版 |
直った版 |
| Sterling External Authentication Server |
7291777(10月9日) |
6.1.1.0〜6.1.1.4 |
6.1.1.5 |
| Sterling Partner Engagement Manager |
7292010(10月11日) |
Essentials 6.3.0.0〜6.3.0.3、6.2.4.0〜6.2.4.5。Standard 6.2.4.0〜6.2.4.5 |
6.3.0.4、6.2.4.6 |
| Sterling Connect:Direct for UNIX |
7292127(10月12日)、7292735(10月15日) |
6.4.0.0〜6.4.0.6.iFix021、6.3.0.0〜6.3.0.7.iFix032 |
6.4.0.6.iFix025、6.3.0.7.iFix033 |
| Sterling Control Center |
7290903(10月5日) |
6.4.2.0〜iFix07、6.3.1.0〜iFix11 |
6.4.2.0 iFix08、6.3.1.0 iFix12 |
| Db2 on Cloud Pak for Data、Db2 Warehouse on Cloud Pak for Data |
7292117(10月12日) |
v4.8〜v5.3 |
v5.3.1 patch 15 |
| Db2 intelligence center |
7292486(10月14日) |
1.0 |
Db2 Genius Hub 1.1.0 |
| Db2 Developer Extension(VS Codeの拡張) |
7292737、7292742、7292743(10月15日) |
1.2.0 |
1.2.1 |
| AIX 7.3(oss.lib.libcurl) |
7292372(10月14日) |
7.79.1.0、8.1.2.0、8.5.0.0〜8.5.0.2 |
暫定の修正 18924mc.261006 |
Sterling Control Centerの告知は、CERT-FRでは10月13日付ですが、IBMの変更履歴では10月5日の初公開です。AIXの告知は、AIX Toolboxから入れたcurlには当たらないと断っています。
影響する会社・しない会社
- 影響する: WebSphere Application Serverの従来版8.5か9.0を使っている会社。8.5.5.31と9.0.5.29も対象です
- 影響する: WebSphere Libertyの17.0.0.3から26.0.0.10を使い、上の表の機能を有効にしている会社
- 影響する: QRadar SIEMの7.6.0.4以前か、7.5.0 UP16 IF01以前を使っている会社。SOC(監視)を委託し、委託先がQRadarを使っている場合も含みます
- 影響する: 上の表のSterling、Db2、AIX 7.3を、対象の版で使っている会社
- 影響しない: これらのIBMの製品を使っていない会社。ただし業務のパッケージの中にWebSphereが入っていることがあり、使っていないと言い切るには納品物の確認が要ります(編集部の整理)
情シスが今日やること
- WebSphereが入っていないかを洗い出します。 業務のシステムの保守会社に、WebSphere(従来版かLiberty)を使っているか、版と有効な機能は何かを聞きます。パッケージの製品の中に入っていることもあります。
- WebSphereは暫定の修正を当てる日を決めます。 Fix Packは第4四半期の予定で、待つと年をまたぐ恐れがあります。IBMの告知のAPAR番号を保守会社に伝え、暫定の修正の適用の計画を出してもらいます。
- QRadarは7.6.0.5かUP16 IF02へ上げる計画を立てます。 9月に7.6.0.4へ上げた会社も、もう一度上げます。HTTP Receiverを使っていれば、自動更新が効いているかも確かめます。
- Sterling、Db2、AIXは上の表で版を照らし合わせます。 ファイルの受け渡し(Connect:Direct)や取引先とのやり取り(Partner Engagement Manager)の担当にも、版を聞きます。
- 結果を台帳に残します。 製品、版、当てた修正、日付を記録します。IBMの「My Notifications」に登録すると、新しい告知の知らせを受け取れます(告知の案内)。
ほかのIBMの製品の告知は、IBM Guardiumの監視装置に脆弱性11件 CVSS 9.8が2件、Snifferの修正パッチを当てるやIBM DataPower Gatewayに複数の脆弱性 版を確かめて修正版へでも扱っています。
