Des failles graves dans les produits IBM menacent les entreprises utilisatrices

Le CERT-FR (ANSSI) a publié le 4 septembre 2026 un avis de sécurité référencé CERTFR-2026-AVI-1121, signalant de multiples vulnérabilités dans plusieurs produits IBM largement déployés en entreprise. Ces failles, consolidées à partir de cinq bulletins de sécurité IBM publiés les 1er et 2 septembre 2026, concernent des composants critiques de l'infrastructure informatique de nombreuses organisations.

Quels produits sont concernés ?

Trois familles de produits IBM sont explicitement identifiées comme vulnérables dans l'avis du CERT-FR :

• DB2 Query Management Facility (QMF) pour z/OS, versions 12.2.0.5 et 13.1, ainsi que DB2 QMF versions 13.1.1, 13.1.2 et 13.1.3, sans le dernier correctif de sécurité appliqué.
• QRadar SIEM, versions 7.5.x antérieures à 7.5.0 UP16 et versions 7.6.x antérieures à 7.6.0 FP3.
• Sterling Connect:Direct pour Microsoft Windows, versions 6.3.x antérieures à 6.3.0.6_iFix076 et versions 6.4.x antérieures à 6.4.0.5_iFix012.

Des risques concrets et immédiats pour les entreprises

La nature des vulnérabilités décrites par le CERT-FR est particulièrement préoccupante. Trois types d'impact sont identifiés :

• Exécution de code arbitraire à distance : un attaquant non authentifié peut potentiellement prendre le contrôle d'un système vulnérable depuis le réseau, sans avoir besoin d'un accès physique ou d'un compte valide.
• Déni de service à distance : les services concernés peuvent être rendus indisponibles, ce qui, dans le cas de QRadar SIEM — un outil de surveillance de la sécurité —, pourrait aveugler les équipes en charge de la détection des incidents.
• Atteinte à l'intégrité des données : des données peuvent être modifiées ou corrompues à l'insu des utilisateurs et administrateurs.

Le cas de QRadar SIEM mérite une attention particulière. Cet outil est précisément celui que les équipes de sécurité utilisent pour détecter les intrusions et les comportements anormaux. Une compromission de QRadar reviendrait à neutraliser une partie du dispositif de défense de l'entreprise, permettant à un attaquant d'agir dans l'ombre.