この脆弱性、うちのシステムに関係ある？
Question
弊社のセキュリティ担当からこのような脆弱性のレターが送られてきました。
Security Bulletin: IBM® Db2® is vulnerable to remote code execution due to improper pre-auth DRDA handshake handling (CVE-2026-10109)
https://www.ibm.com/support/pages/node/7277424
レターの見方が分からず困惑しています。 弊社で使用しているIBM i のDb2はこの脆弱性の対象になるのか、判別方法をご教示いただけますか。
Answer
ご覧になられたサイトはIBM Db2に関する脆弱性の情報ですね。
このサイトを例に、自社のIBM iが対象かどうかを確認する手順を解説します。
大まかに対象か対象外かを判別したい時は、まずサイトの右側にある「Document Information」を確認するのが一番の近道です。
「More support for:」と「Operating system(s):」をチェック
先ずは脆弱性の対象製品を確認します。
ここに「IBM i」やIBM iに関連した製品やACSなどが記載されていれば、対象になる可能性が高いです。
今回の脆弱性ですとIBM iのDb2（Db2 for i）の記載はありません。
対象となるのはWindowsやLinux用のものであり、IBM i（AS400）環境は対象外（影響なし）であると判断できます。
「Software version:」をチェック
今回は製品自体が異なるため確認不要ですが、もしここが「IBM i」対象のレターだった場合は、次に「Software version:」でバージョンをチェックします。
実は Db2 for iのバージョンは、IBM i OSのバージョンと同じです。
例えば、IBM i v7.4 を使用している場合にはDb2 for iのバージョンもv7.4になります。
今回の脆弱性の対象バージョンは「11.5.0 - 11.5.9」及び「12.1.0 - 12.1.4」ですので、Db2 for i のバージョンとは合致しません。
尚、ご利用のIBM i OSのバージョンは、DSPPTF コマンドを実行して「基本オプションのリリース」にて確認いただけます。
ちなみに、IBM i OSそのものが脆弱性の対象となっていると、画像のように表記されます。
もし脆弱性の対象だった場合には、サイトの左側にある脆弱性の詳細や「Affected Productsand Versions」や「Remediation/Fixes」にて、を確認し、具体的な対応方法を検討していく流れになります。
by . 槻樹
