Oracle Siebel CRM Cloud Applications: Nicht näher bezeichnete Schwachstelle in Siebel Cloud Manager
Zusammenfassung
Oracle Siebel CRM Cloud Applications in den Versionen 22.3 bis 26.9 enthält eine Schwachstelle in der Komponente Siebel Cloud Manager. Ein nicht authentifizierter Angreifer mit Zugriff auf das Netzwerksegment der Hosting-Hardware kann unter hoher Angriffskomplexität kritische Daten erstellen, ändern oder löschen sowie auf CRM-Daten zugreifen, wobei eine Scope-Änderung auch andere Produkte betreffen kann. Gemäss CVSS-Vektor ist die Verfügbarkeit nicht betroffen. Oracle führt die Schwachstelle im Critical Patch Update vom Oktober 2026 auf.
Betroffen
- Oracle Siebel CRM Cloud Applications, Versionen 22.3 bis 26.9 (inklusive)
Behoben in
- Unbekannt. Die aktuelle Revision des Oracle-Advisory zum Critical Patch Update vom Oktober 2026 auf die korrigierte Version prüfen.
Umgehung
- In den konsultierten Quellen wurde kein Workaround des Herstellers gefunden.
- Bis zur Behebung den Netzwerkzugriff auf die Siebel-Hosts und deren Management-Segment einschränken.
Ausnutzung
- In den konsultierten Quellen ist keine Ausnutzung in freier Wildbahn und kein öffentlicher Proof-of-Concept bekannt. Dies ist kein Beweis für das Fehlen einer Ausnutzung.
- EPSS-Wert von 0.00183 (niedrig) laut einem Aggregator.
Unsere Empfehlung
- Prüfen, ob eine Instanz von Siebel CRM Cloud Applications in den Versionen 22.3 bis 26.9 im Einsatz ist.
- Die korrigierte Version aus dem Oracle-Advisory beschaffen und beim Hosting-Anbieter klären, wer wann patcht.
- Bis zur Behebung den Netzwerkzugriff auf Siebel-Hosts aus dem angrenzenden Netzwerk einschränken.
- Herstellermeldungen beobachten und Updates zeitnah einspielen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Oracle Security Alert: October 2026 CPU www.oracle.com
- CVE-2026-101438 record (Vulners) vulners.com
- CVE-2026-101438 analysis (Strix) www.strix.ai
- October 2026 CPU overview (CVEBrief) cvebrief.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 21:16.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.