IBMの11の勧告 QRadarのアプリやCognos、AIXなどを直す

IBMは2026年10月15日から23日にかけて、Cognos Analytics、AIX・VIOS、QRadarのアプリ、Sterling B2B Integrator・File Gateway、WebSphere eXtreme Scale、Db2 Developer Extensionのセキュリティ情報(Security Bulletin)を11本出しました。フランスの国の機関CERT-FRが、10月23日の注意(CERTFR-2026-AVI-1378)でまとめています。

多くは、製品の中に入っているオープンソースの部品の欠陥です。CVSSは、Cognos Analyticsの10.0が最も高い値です。

製品ごとの対象と直る版

最大のCVSSは、各勧告に載っている値のうち最も高いものです(IBMの勧告の値)。

中身は、製品の中の部品の欠陥

それぞれの勧告で、最も点の高い欠陥は次のとおりです。

• Cognos Analytics: 128件の欠陥を直しました。最も高い10.0は、Pythonの言語処理の部品NLTKで、外の部品を確かめずに読み込み、コードを実行される欠陥(CVE-2026-0848)です。
• AIX・VIOS: 時刻を合わせるNTPと、端末の道具tmuxの欠陥です。最も高い9.2は、中のlibeventのHTTPの読み取りの欠陥(CVE-2026-63382)です。IBMは修正をひとまとめの取得用のファイルで出しています。
• QRadar Pulse App・Use Case Manager App: 最も高い9.1は、Node.jsの部品proxy-addrで、信頼する中継の設定の扱いに誤りがある欠陥(CVE-2026-90711)です。
• WebSphere eXtreme Scale: Libertyの配置で、クロスサイトスクリプティングなど3件です。9.1はIBM自身の欠陥(CVE-2026-101117)で、コンテンツの保護の設定が不十分で守りを回り込まれるとしています。
• Db2 Developer Extension: Node.jsの部品undici(10件)と、jackson-databind・Springの式の扱い(1件)の欠陥です。
• Sterling B2B Integrator・File Gateway: 暗号の部品Bouncy Castleの欠陥6件です。

Cognos Analytics、QRadarのアプリ、Db2 Developer Extensionなどの勧告では、回避策は「None」(無し)とされています。

影響する会社・しない会社

• 影響する: Cognos Analyticsで帳票や分析を動かしている会社です。12.1.3 FP2か12.0.4 FP3に上げます。
• 影響する: QRadar SIEMで、Pulse App、Use Case Manager App、SOARのプラグインなどのアプリを入れている会社です。SIEMの本体とは別に、アプリを上げます。
• 影響する: AIXやVIOSで業務のシステムを動かしている会社、Sterling B2B Integrator・File Gatewayで取引先とのデータのやり取りをしている会社です。
• 影響する: 開発者がVisual Studio CodeにDb2 Developer Extensionを入れている会社です。
• 影響しない(今回の勧告の範囲では): 一覧の製品を使っていない会社です。

情シスが今日やること

1. 使っているIBMの製品を一覧にします。 表の製品と版を、資産の台帳や保守の契約と照らします。QRadarは、入れているアプリとプラグインも一覧にします。
2. 点の高い順に上げます。 Cognos Analytics(10.0)、AIX・VIOS(9.2)、QRadarのアプリやWebSphere eXtreme Scale(9.1)から、直る版に上げる日を決めます。
3. 保守の会社に確かめます。 IBMの製品を保守の会社に任せている場合は、11本の勧告の番号を伝え、当てる予定を聞きます。
4. 開発のPCの拡張も見ます。 Visual Studio Codeの拡張の一覧で、Db2 Developer Extensionが1.2.1以降かを確かめます(当社の見立て)。