Уязвимости в более чем десяти продуктах IBM открывают путь к выполнению кода и повышению привилегий

IBM раскрыла уязвимости сразу в нескольких линейках корпоративного программного обеспечения. Проблемы затрагивают сервер приложений WebSphere, системы мониторинга QRadar, платформу баз данных Db2, операционную систему AIX и продукты Sterling, через которые компании обмениваются файлами и данными с контрагентами. Часть уязвимостей позволяет удалённо выполнять код, повышать привилегии и вызывать отказ в обслуживании. Бюллетени выходили с 8 по 15 октября 2026 года, всего их 26.

Уязвимости в WebSphere, QRadar, Db2, AIX и Sterling

Набор рисков получился широким. Помимо выполнения кода и повышения привилегий, в описаниях встречаются отказ в обслуживании, подделка запросов на стороне сервера, межсайтовый скриптинг, подделка межсайтовых запросов и внедрение SQL-кода.

Подделка запросов на стороне сервера (SSRF) даёт возможность через уязвимый сервер добраться до внутренних ресурсов сети. Межсайтовый скриптинг (XSS) позволяет подменить содержимое страницы в браузере сотрудника. Внедрение SQL-кода открывает путь к чтению и изменению записей в базе данных. Для системы мониторинга отказ в обслуживании означает, что события безопасности перестают собираться, и атака на другие узлы остаётся незамеченной.

Все перечисленные продукты относятся к корпоративному сегменту, поэтому рискуют инфраструктуры крупных организаций, а не домашние компьютеры. Идентификаторы в бюллетенях охватывают период с 2009 по 2026 год. Среди них есть CVE-2021-44228 (Log4Shell) - уязвимость в библиотеке логирования Log4j, которая позволяет удалённо выполнять код. Разброс дат указывает на то, что часть проблем пришла вместе со сторонними компонентами в составе продуктов IBM.

Сервер приложений WebSphere

WebSphere Application Server уязвим в ветвях 8.x и 9.x. Исправления вышли для сборок 8.5.5.31 и 9.0.5.29. Отдельно закрывается ветка Liberty: здесь нужен последний пакет безопасности для версий с 17.0.0.3 по 26.0.0.9. Сборка 26.0.0.11 ожидается только в четвёртом квартале 2026 года, поэтому до её появления снизить риск можно лишь текущими исправлениями и ограничением доступа.

Системы QRadar

У QRadar SIEM уязвимы ветви 7.5.x и 7.6.x. Производитель подготовил обновления 7.5.0 UP16 IF02 и 7.6.0.5. Дополнительно исправлен плагин AQL, который используется для запросов к журналам в QRadar Log Management; актуальная сборка - 1.1.10.

Db2 и операционная система AIX

В линейке Db2 закрыты расширение для разработчиков Db2 Developer Extension (версия 1.2.1), Db2 intelligence center (1.1.0), а также Db2 и Db2 Warehouse в составе Cloud Pak for Data - здесь нужен патч 15 для версии 5.3.1. AIX 7.3.x остаётся уязвимой без последнего пакета безопасности, и его устанавливают вручную.

Продукты Sterling

Здесь список длиннее. Проблемы затрагивают Connect:Direct for UNIX ветвей 6.3 и 6.4, Control Center, External Authentication Server и Partner Engagement Manager в редакциях Essentials и Standard. Для каждой системы IBM подготовила отдельный iFix, промежуточный пакет исправлений, который ставится поверх текущей версии.

Исправления и меры защиты

План действий зависит от продукта, но логика одна. Сначала нужно определить, какие из перечисленных систем работают в инфраструктуре, и сверить их сборки с минимальными безопасными версиями из бюллетеней. Обновиться до WebSphere 8.5.5.31 или 9.0.5.29; до QRadar SIEM 7.6.0.5 либо 7.5.0 UP16 IF02; до Db2 Developer Extension 1.2.1. Для продуктов Sterling достаточно установить последний iFix соответствующей ветви. Там, где обновление пока недоступно, разумно ограничить сетевой доступ к уязвимым интерфейсам и закрыть их от внешних сетей.

Крупные корпоративные платформы собираются из десятков сторонних библиотек, и одна устаревшая зависимость становится источником сразу нескольких проблем. Именно поэтому список идентификаторов тянется с 2009 года. Разовая установка исправлений такую задачу не решает: значение имеет регулярный контроль версий всех компонентов, включая те, что поставляются в составе продукта и не обновляются вместе с ним.