IBM QRadar SIEM'de reflected XSS (CVE-2026-105467, CVSS 8.1): düzeltme 7.6.0.6 ve 7.5.0 UP16 IF03
IBM, QRadar SIEM'de iki açığı kapattı. CVE-2026-105467, oturumu açık bir analistin hazırlanmış bir bağlantıya tıklamasıyla tetiklenen reflected XSS; IBM'in puanı 8.1. CVE-2026-105473 ise open redirect. Workaround yok, çözüm 7.6.0.6 ya da 7.5.0 UP16 IF03.
CVE-2026-105467, CVE-2026-105473
IBM, QRadar SIEM için 3 Kasım'da yayımladığı güvenlik bülteniyle iki açığı kapattı; kayıtlar 8 Kasım'da NVD'ye girdi. Ağır olanı CVE-2026-105467: QRadar web arayüzünde reflected cross-site scripting (XSS). IBM'in verdiği CVSS puanı 8.1 (yüksek). Saldırganın kimlik doğrulamasına gerek yok, ama açığın tetiklenmesi için QRadar'da oturumu açık bir kullanıcının özel hazırlanmış bir bağlantıyı açması gerekiyor. CVSS vektörüne göre gizlilik ve bütünlük etkisi yüksek.
İkinci açık CVE-2026-105473 (CVSS 4.6), aynı koşulla tetiklenen bir open redirect: kullanıcı QRadar adresi gibi görünen bir bağlantıyla başka bir siteye yönlendirilebiliyor. IBM bülteninde istismar bilgisi yok; NVD kaydındaki CISA değerlendirmesinde istismar "yok" olarak işaretli ve açıklar KEV kataloğunda değil.
Neden önemli?
SIEM konsoluna giren hesaplar genellikle geniş yetkili. Olay kayıtlarını, kural ve offense yapılandırmasını, log kaynaklarını görüyorlar. Böyle bir oturumun tarayıcısında saldırganın betiğinin çalışması, o kullanıcının yetkisiyle arayüzde işlem yapılabilmesi anlamına gelir. Saldırı için bir tıklama gerektiğinden asıl risk, SOC analistlerine gönderilen hedefli phishing iletileri ve ticket ya da sohbet araçlarına bırakılan bağlantılar.
Etkilenen ve düzeltilmiş sürümler
| Ürün | Etkilenen | Düzeltilmiş sürüm |
|---|---|---|
| IBM QRadar SIEM 7.6.0 | 7.6.0.0 – 7.6.0.5 | 7.6.0.6 |
| IBM QRadar SIEM 7.5.0 | 7.5.0 – 7.5.0 UP16 IF02 | 7.5.0 UP16 IF03 |
IBM bülteninde workaround ya da geçici önlem yok.
Beni etkiliyor mu?
QRadar Console arayüzünde menüden About ekranını açın; sürüm, update package ve interim fix düzeyi orada yazar. 7.6.0.6'dan ya da 7.5.0 UP16 IF03'ten eski bir düzeydeyseniz iki açık da geçerli. Console'a hangi ağlardan erişilebildiğini de not edin: arayüz internetten ya da geniş bir kullanıcı ağından erişilebiliyorsa risk artar.
Ne yapılmalı?
- QRadar'ı 7.6.0.6 ya da 7.5.0 UP16 IF03 düzeyine yükseltin. Dağıtık kurulumlarda Console'dan başlayıp managed host'larla devam edin ve change management sürecinde bakım penceresi açın.
- Yükseltene kadar Console arayüzüne erişimi yalnızca SOC ve yönetim ağlarıyla sınırlayın.
- Analistlere, e-posta, ticket ya da sohbet üzerinden gelen QRadar bağlantılarına tıklamak yerine Console'u yer iminden açmalarını hatırlatın.
- QRadar audit log'unda beklenmedik kullanıcı, yetki, kural ve log kaynağı değişikliklerini gözden geçirin.
