IBM-Woche 43/2026: Schwachstellen in MQ Operator und QRadar dominieren 21 CVEs

Das Release im Überblick

IBM hat für die Woche vom 19. bis 25. Oktober 2026 21 CVEs veröffentlicht. Zehn sind mit hohem Schweregrad bewertet, neun mit mittlerem und zwei mit niedrigem. Keine dieser CVEs erscheint im CISA-Katalog „Known Exploited Vulnerabilities“ (KEV), und zu keiner wird eine Ausnutzung gemeldet. Nach Produkten entfallen 15 CVEs auf MQ Operator; auf Sterling Connect:Direct für Unix entfallen zwei, auf Verify Identity Access, QRadar Security Information and Event Management, QRadar und MQ jeweils eine. Besonders hervorzuheben sind hartcodierte Zugangsdaten in den Appliances Verify Identity Access und Security Verify Access, mehrere Pufferüberlauf- und Deserialisierungsschwachstellen in MQ sowie zwei Schwachstellen im QRadar-SIEM, die ohne vorherige Authentifizierung ausgenutzt werden können.

Was am meisten zählt

Verify Identity Access und Security Verify Access. CVE-2026-109126 (CVSS 8,8) ist eine Schwachstelle aufgrund hartcodierter Zugangsdaten und betrifft Verify Identity Access 11.0.3.1 sowie Security Verify Access 10.0.9.3. Ein Angreifer in physischer Nähe könnte erweiterte Berechtigungen erlangen; IBM gibt an, dass eine Korrektur verfügbar ist, nennt jedoch keine korrigierte Version.

MQ Operator und MQ Advanced Container Images. CVE-2026-10574 (8,8) und CVE-2026-10572 (8,8) sind Heap-Pufferüberläufe, die durch fehlerhaft gestaltete MQPUT- oder MQPUT1-Operationen und Nachrichtenoptionen ausgelöst werden. CVE-2026-10743 (8,8) entsteht durch eine unzureichende Validierung von Puffergrößen bei MQOPEN-Operationen. CVE-2026-12665 (8,1) ist ein Stack-Pufferüberlauf, der beim Verarbeiten von TLS-Zertifikaten mit fehlerhaft gestalteten Distinguished Names während des Aufbaus einer Channel-Verbindung auftritt; die Schwachstelle ist ohne vorherige Authentifizierung aus der Ferne erreichbar, weist jedoch eine hohe Angriffskomplexität auf. Diese vier Schwachstellen sind in MQ Operator 3.4.0 korrigiert.

QRadar SIEM und QRadar. CVE-2026-93441 (8,6) ist eine Schwachstelle ohne vorherige Authentifizierung, die durch unkontrollierten Ressourcenverbrauch im HTTP-Receiver zu einem Denial-of-Service führen kann. CVE-2026-93442 (8,2) ist ein Lesezugriff außerhalb des gültigen Speicherbereichs (Out-of-bounds-Read), der einen Denial-of-Service oder die Offenlegung von Informationen verursachen kann und ebenfalls ohne Authentifizierung aus der Ferne ausnutzbar ist. IBM gibt an, dass Korrekturen verfügbar sind.

Sterling Connect:Direct für Unix. CVE-2026-105453 (8,4) ist ein Problem durch unsachgemäße Verwaltung von Berechtigungen, das es einem lokalen Angreifer ermöglicht, erweiterte Berechtigungen zu erlangen. Betroffen sind die Versionen 6.3.0.0 bis 6.3.0.7 und 6.4.0.0 bis 6.4.0.6.

In dieser Reihenfolge patchen

1. Spielen Sie zuerst Sicherheitsupdates für QRadar SIEM und QRadar ein. CVE-2026-93441 und CVE-2026-93442 sind beide ohne vorherige Authentifizierung aus der Ferne ausnutzbar und können einen Denial-of-Service verursachen; CVE-2026-93442 kann außerdem Informationen offenlegen. Wenden Sie die Korrekturen von IBM auf die betroffenen Releases an.

1. Aktualisieren Sie MQ Operator auf 3.4.0. Damit werden der ohne vorherige Authentifizierung erreichbare Stack-Pufferüberlauf bei der TLS-Verarbeitung (CVE-2026-12665) sowie CVE-2026-10574, CVE-2026-10572, CVE-2026-10743, CVE-2026-12148 und CVE-2026-12350 behoben. Folgen Sie den Hinweisen von IBM für MQ Advanced Container Images. Für die separate Denial-of-Service-Schwachstelle CVE-2026-14511 in MQ 9.4.5.0 bis 9.4.5.1 wenden Sie die Korrektur von IBM an.

1. Aktualisieren Sie Verify Identity Access und Security Verify Access für CVE-2026-109126. IBM gibt an, dass eine Korrektur verfügbar ist; der Sicherheitshinweis nennt keine korrigierte Version. Priorisieren Sie Appliances, die sich in physischer Nähe nicht vertrauenswürdiger Nutzer befinden.

1. Spielen Sie Sicherheitsupdates für Sterling Connect:Direct für Unix für CVE-2026-105453 und CVE-2026-93888 ein. IBM gibt an, dass für die betroffenen Versionen 6.3.0.0 bis 6.3.0.7 und 6.4.0.0 bis 6.4.0.6 Korrekturen verfügbar sind.

1. Arbeiten Sie danach die verbleibenden MQ Operator-CVEs mit mittlerem und niedrigem Schweregrad gemäß dem Sicherheitshinweis von IBM ab.

Über den Patch hinaus

Eine von MQ Operator dominierte IBM-Woche lässt sich leichter bewältigen, wenn aus dem Internet erreichbare QRadar- und MQ-Dienste bereits im Asset-Inventar erfasst sind. Mit Virtual CISO Services (vCISO) unterstützen wir Sie dabei, Dienste, die ohne Authentifizierung über das Netzwerk erreichbar sind – etwa den HTTP-Receiver von QRadar – zu erkennen, bevor ein Sicherheitshinweis zu hektischem Handeln zwingt. Für die Pufferüberlauf- und Deserialisierungsschwachstellen in MQ lassen sich mit Implementierungs- und Bewertungsleistungen das Update prüfen und die Nachrichtenverarbeitung durch Penetrationstests und Härtung absichern.