IBM i のセキュリティと CVE

27 Aug 2026

IBM i の強固なセキュリティには定評があります。最高のセキュリティを維持するには関連した PTF を最新に保つ必要があり、その際には CVE が出ているかが一つの目安になります。

CVE と PTF

昔から IBM i にはセキュリティのグループ PTF が提供されており、HIPER (High Impact PERvasive。重要な修正) とあわせて定期的にアップデートする運用をしているケースもあるでしょう。これとは別に、世の中一般では CVE (Common Vulnerabilities and Exposures。共通脆弱性識別子) としてプログラム上のセキュリティ問題を公開しています。「新たなセキュリティの脆弱性が発見！」のようなネットのニュースで CVE を見かける事もあるでしょう。

IBM 製品の CVE も「IBM Product Security Central」で公開されています。IBM i に関連した CVE もこのサイトで検索できるので、ここで CVE に対する PTF が提供されているか、回避策・軽減策があるかを確認できます。

2018 年 8 月から 2026 年 8 月までで、速報 343 件、ユニークな PTF 番号 1,628 件、CVE 1,116 件が入っています。ライセンスプログラム別の内訳は次のとおりです。

ライセンスプログラム	製品	PTF 数
5770-SS1	IBM i オペレーティングシステム	876
5770-JV1	IBM Developer Kit for Java	218
5770-DG1	IBM HTTP Server for i	140
5770-999	Licensed Internal Code	125
5733-SC1	IBM Portable Utilities for i (OpenSSH/OpenSSL)	120
5733-WQX	IBM Db2 Web Query for i	31

このほか 5770-DBM (Db2 Mirror)、5733-OMF (OmniFind)、5770-TC1、5770-PT1、5733-ARE など、全部で 23 のライセンスプログラムが対象になっています。

CVE 由来の PTF をまとめて Fix Central でオーダー

IBM i の運用観点からは利用中のソフトウェア (IBM i や LPP) に対する PTF の一覧が欲しいのですが、先のサイトにそのような機能はありません。何 10 もの個別の CVE を検索して PTF を確認するのは面倒です。そこで、CVE と PTF の関係を一覧にした「IBM i セキュリティ速報 PTF 台帳」を作ってみました。

(クリックで台帳を開きます)

LPP とバージョンが交差する部分 (数字があるところ) をクリックすると、その LPP/バージョンに対する CVE 由来の PTF が一覧で表示されます。Severity で絞り込んでカンマ区切りでコピーできるので、そのまま Fix Central の個別 PTF に貼れます。

この台帳はあくまで速報の自動解析によるスナップショットです。Severity は CVSS ベーススコアの区分で、速報に含まれる CVE のうち最も高い値を採用しています。適用の可否は必ず速報の原文と Fix Central で確認してください。台帳の各行から速報ページへリンクしています。

独立した repository を用意するほどの大きさではないので、一式をこの blog 内のディレクトリーに置いておきます。興味のある方は README.md の詳細をご確認ください。

グループ PTF を当てていれば個別 PTF の多くはカバーされますが、「あの CVE の対策は入っているのか」を聞かれたときに、製品とリリースから逆引きできる一覧が手元にあると話が早いでしょう。