SGB TR-26-1303: IBM Db2 ve IBM i için güvenlik bildirimi

SGB, IBM'in Db2 ve IBM i dahil dört ürününde 16 açık için TR-26-1303 kodlu bildirim yayımladı. Başkanlık ivedi güncelleme tavsiye etti.

Sidney'deki IBM binasının granit cephesinde IBM logosu

Siber Güvenlik Başkanlığı (SGB), IBM'in Db2, Db2 Mirror for i, DataStage on Cloud Pak for Data ve IBM i ürünlerindeki 16 güvenlik zafiyeti için TR-26-1303 kodlu bildirim yayımladı. 13 Ekim 2026'da paylaşılan bildirimde, mevcut güvenlik açıklıkları nedeniyle mevcut güvenlik açıklıkları nedeniyle saldırganların zafiyetleri kullanarak saldırı gerçekleştirmesinin ihtimal dâhilinde olduğu belirtildi. Başkanlık, IBM'in güvenlik bültenlerinin incelenmesini ve güncellemelerin ivedilikle yapılmasını tavsiye etti.

Açıkların sahada kötüye kullanılıp kullanılmadığı ya da etkilenen kurum bulunup bulunmadığı bilinmiyor. IBM PSIRT tarafından yayımlanan CVE kayıtlarında en yüksek zafiyet puanları 9.9 olarak hesaplandı.

IBM Db2 Mirror for i

IBM Db2 Mirror for i'nin 7.4, 7.5 ve 7.6 sürümlerini etkileyen CVE-2026-96012 zafiyeti, oturum açmış bir saldırganın yetki yükseltmesine ve ek girdi denetimlerini aşarak kod çalıştırmasına izin veriyor. Bu açığın taban puanı IBM'in CVE kaydına göre 9.9 oldu. Düzeltme için IBM i sürümüne göre PTF yayımlandı.

IBM Db2

IBM Db2'nin 11.5.0–11.5.9 ve 12.1.0–12.1.5 sürümlerinde iki hizmet engelleme açığı yer alıyor. CVE-2026-104364 yerel bir saldırganın hatalı girdi doğrulama üzerinden sistemi aksatmasına imkan tanırken (IBM'in CVE kaydına göre 3.3 puan), CVE-2026-104332 ise özel hazırlanmış bir sorguyla bellek yığını taşmasına yol açıyor (IBM'in CVE kaydına göre 5.5 puan). Sorunlar IBM Fix Central üzerinden sunulan ara düzeltmelerle giderildi.

IBM DataStage on Cloud Pak for Data

DataStage on Cloud Pak for Data 5.4.0.0 sürümünde toplam altı açık listelendi. Yol geçişiyle keyfi kod çalıştırmaya yol açan CVE-2026-82110, hizmet engellemeye yol açan CVE-2026-82101 ve bilgi ifşasına neden olan CVE-2026-82103 zafiyetlerinin her biri IBM'in CVE kaydına göre 9.6 puana sahip. İşletim sistemi komut enjeksiyonuna olanak veren CVE-2026-82096 ile kod enjeksiyonu açığı CVE-2026-82108 için puan 8.8 olarak belirlendi. Sahte TLS sertifikasıyla erişim jetonunun ele geçirilmesine yol açabilen CVE-2026-84418 açığının puanı ise 7.4 oldu. Düzeltme için sistemin sürüm 5.4 patch 7 veya üzerine yükseltilmesi gerekiyor.

IBM i

IBM i işletim sisteminin 7.3, 7.4, 7.5 ve 7.6 sürümlerinde yedi açık saptandı. HTTP Server Administration arayüzünde oturum açmış saldırganların keyfi kod çalıştırmasını sağlayan CVE-2026-96119, IBM'in CVE kaydına göre 9.9 puana ulaştı. Aynı arayüzdeki siteler arası betik çalıştırma (XSS) zafiyeti CVE-2026-93886 için puan 8.3 oldu. Kalan açıklarda File Server üzerinde sınır dışı okuma (CVE-2026-81858, 5.4 puan), oturum açma hatalarıyla profil sıralama (CVE-2026-17487, 5.3 puan), kaba kuvvetle kimlik bilgisi elde etme (CVE-2026-18318, 5.3 puan), erişim denetimi kaynaklı hizmet engelleme (CVE-2026-17484, 5.3 puan) ve BOOTP tablosu değişikliği (CVE-2026-18343, 4.4 puan) kaydedildi. Zafiyetler IBM i sürümüne göre PTF uygulanarak kapatılıyor.