Zwei kritische Sicherheitslücken im weitverbreiteten IBM QRadar SIEM haben jüngst für Aufsehen gesorgt – und verdeutlichen erneut, wie essenziell schnelle Reaktionen und proaktive Sicherheitsstrategien für Unternehmen sind. In Zeiten zunehmender Cyberbedrohungen können ungepatchte Schwachstellen fatale Folgen haben. Dieser Artikel zeigt, was passiert ist, wie Sie Ihre Systeme schützen und warum regelmäßige Sicherheitsupdates nicht verhandelbar sind.
Die Schwachstellen: Was war betroffen?
IBM hat im Juni 2025 zwei signifikante Sicherheitslücken in seiner Security Information and Event Management Plattform IBM QRadar SIEM veröffentlicht und entsprechende Patches bereitgestellt. Bei den Schwachstellen handelt es sich um:
- CVE-2025-26798: Eine Remote-Code-Execution-Schwachstelle, die es Angreifern ermöglichen könnte, ohne Authentifizierung schädlichen Code auszuführen. Die Ursache war eine ungesicherte SerDes-Implementierung in der Webanwendungskomponente.
- CVE-2025-26801: Eine Cross-Site Scripting (XSS)-Lücke in der Benutzeroberfläche von QRadar, durch die Angreifer beliebigen JavaScript-Code im Browser eines Administrators ausführen könnten. Diese Schwachstelle erforderte authentifizierte Zugriffe, konnte jedoch zur Session-Übernahme führen.
Beide Schwachstellen wurden mit einem CVSS-Score von über 8.0 als hochkritisch eingestuft und betrafen alle QRadar-Versionen vor 7.5.0 Update Pack 9. IBM hat seinen Kunden dringend geraten, umgehend die bereitgestellten Updates zu installieren. Die Verwundbarkeiten wurden ursprünglich im Rahmen eines Bug-Bounty-Programms entdeckt und vertraulich an IBM gemeldet.
QRadar unter der Lupe: Die Bedeutung des Update-Zyklus
IBM QRadar gilt als eine der führenden SIEM-Lösungen auf dem Markt. Laut dem Gartner Magic Quadrant for SIEM 2025 ist QRadar weiterhin ein „Leader“, insbesondere wegen seiner Echtzeit-Analyse- und Integrationsfähigkeiten. Doch jede komplexe Plattform ist nur so sicher wie ihr letzter Patch. In heutigen hybriden IT-Landschaften, in denen SIEM-Systeme zentrale Angriffsinformationen sammeln und korrelieren, wäre ein erfolgreicher Angriff auf QRadar selbst ein schwerwiegender Sicherheitsvorfall.
Die vorliegenden Schwachstellen waren potenziell geeignet, die Integrität der Plattform zu kompromittieren. In Szenarien, in denen ein Angreifer bereits Zugang zum Netzwerk hat oder gezielt SIEM-Systeme ins Visier nimmt, kann die Ausnutzung einer RCE-Lücke katastrophale Folgen haben – vom Abziehen sensibler Logs über Manipulation von Alarmierungen bis hin zum vollständigen Kontrollverlust.
Statistische Einordnung: Wie verbreitet sind solche Vorfälle?
Cyber-Angriffe auf SIEM-Plattformen sind kein theoretisches Risiko. Laut einer Studie von SANS aus dem Jahr 2024 gaben 37 % der befragten Unternehmen an, dass ihre SIEM-Lösung im Vorjahr direkt Ziel eines Angriffes war. Darüber hinaus zeigt der IBM X-Force Threat Intelligence Report 2025, dass über 14 % aller kritischen IT-Sicherheitsvorfälle im Jahr 2024 auf falsch konfigurierte oder veraltete Sicherheitslösungen zurückzuführen waren.
Der Trend ist eindeutig: Sicherheitslösungen selbst geraten immer häufiger ins Visier – und müssen daher genauso gegen Angriffe geschützt werden, wie die Systeme, die sie eigentlich verteidigen sollen.
Best Practices: So schützen Administratoren ihre SIEM-Umgebung
Um potenzielle Schwachstellen wie CVE-2025-26798 und CVE-2025-26801 zu vermeiden oder ihre Auswirkungen zu minimieren, sollten Netzwerkadministratoren folgende Maßnahmen ergreifen:
- Regelmäßige Patch-Zyklen einführen: Automatisieren Sie die Prüfung auf IBM Security Bulletins und implementieren Sie Updates kurzfristig – idealerweise innerhalb von 48 Stunden nach Veröffentlichung.
- Angriffsflächen minimieren: Segmentieren Sie das Netzwerk so, dass administrative Interfaces von außen nicht zugänglich sind. Verwenden Sie Multi-Faktor-Authentifizierung für Administratoren.
- Sicherheitsüberwachung auf sich selbst anwenden: Überwachen Sie das SIEM wie jedes andere kritische System – inklusive Auditlogging und Anomalieerkennung.
Zusätzlich empfiehlt IBM selbst, die Integrität installierter QRadar-Komponenten regelmäßig über den „Integrity Check“-Mechanismus der Plattform zu überprüfen und Reports bei Unstimmigkeit automatisiert an Admins zu senden.
Verantwortung und Reaktionsfähigkeit: Die Rolle der Hersteller
Die schnelle Reaktion von IBM – Veröffentlichung eines Security Bulletins, bereinigte Updates innerhalb von fünf Werktagen, umfassende Kommunikationsstrategie – darf durchaus als vorbildlich gelten. Dies unterstreicht eine entscheidende Erkenntnis: Die Resilienz eines Systems hängt nicht nur von seiner Architektur, sondern auch von der Reaktionsgeschwindigkeit des Herstellers auf Sicherheitsvorfälle ab.
Doch Herstellerverantwortung endet nicht bei der Patch-Bereitstellung. Gerade in Bereichen wie SIEM oder EDR warten viele Unternehmen oft zu lange mit dem Einspielen von Sicherheitsupdates – nicht selten aus Sorge vor Instabilitäten. Branchenschätzungen zufolge werden in Unternehmen durchschnittlich nur 57 % aller sicherheitsrelevanten Patches innerhalb von 30 Tagen installiert (Quelle: Ponemon Institute, 2024).
Diese Verzögerungen öffnen Angreifern Tür und Tor – sogenannte „N-Day Exploits“, die auf bekannte, aber nicht gepatchte Schwachstellen abzielen, sind heute genauso verbreitet wie Zero-Day-Attacken.
Über den konkreten Fall hinaus: Proaktive Sicherheit leben
Der Fall QRadar verdeutlicht eine universelle Lektion: Sicherheitslösungen müssen selbst sicher sein. Sie stellen ein zentrales Glied in der Verteidungskette dar – wird dieses angegriffen, setzt das eine Kette potenziell folgenschwerer Kompromittierungen in Gang. Um dem vorzubeugen, sollten sich Unternehmen verstärkt auf proaktive Sicherheitskultur fokussieren:
- Security Ownership: Verantwortlichkeiten für Patches und Konfigurationen klar im IT-Team definieren und dokumentieren.
- Attack Surface Management: Tools und Prozesse etablieren, um sämtliche extern erreichbaren Dienste – auch im SIEM-Kontext – kontinuierlich zu identifizieren und zu bewerten.
- Red-Teaming & Simulation: Notfallszenarien testen, insbesondere Kompromittierung des SIEMs simulieren, um Recovery-Prozesse zu trainieren und Abhängigkeiten zu verstehen.
Fazit: Wachsamkeit als Teil der Sicherheitsarchitektur
Die Schließung der beiden QRadar-Schwachstellen ist ein eindrucksvolles Beispiel dafür, wie essenziell kontinuierliche Wachsamkeit, schnelle Reaktion und bewährte Sicherheitspraktiken sind – sowohl seitens der Hersteller als auch der Anwenderorganisationen. Moderne IT-Sicherheit endet nicht bei technischer Absicherung, sondern schließt auch Prozesse, Verantwortung und Unternehmenskultur mit ein.
Was denken Sie? Haben Sie bereits Prozesse zur regelmäßigen Patch-Verifizierung Ihrer Sicherheitslösungen etabliert? Teilen Sie Ihre Erfahrungen in der Kommentarspalte oder schreiben Sie uns – wir freuen uns auf den Austausch mit der Community!
