Oracle Siebel CRM Cloud Applications: Vollständige Übernahme über HTTP (Siebel Cloud Manager)
Zusammenfassung
Oracle Siebel CRM Cloud Applications, Komponente Siebel Cloud Manager, ist von einer kritischen Schwachstelle betroffen (CVSS 9.9). Ein entfernter Angreifer mit Netzwerkzugriff über HTTP und niedrigen Berechtigungen kann die Anwendung kompromittieren, wobei sich die Auswirkungen auf weitere Komponenten erstrecken. Eine erfolgreiche Ausnutzung kann zur Übernahme von Siebel CRM Cloud Applications führen, weshalb ein Angreifer ein gültiges Konto mit niedrigen Berechtigungen benötigt. Die Schwachstelle ist im Critical Patch Update von Oracle vom Oktober 2026 aufgeführt.
Betroffen
- Oracle Siebel CRM Cloud Applications, Komponente Siebel Cloud Manager
- Versionen 17.0 bis 26.9 laut CNA-Eintrag; die untere Grenze ist umstritten (verwandte CVEs nennen 22.3) und muss im Advisory von Oracle bestätigt werden
Behoben in
Unbekannt. Fixversionen und die Frage, ob der Cloud-Dienst zentral gepatcht wird, sind dem Advisory von Oracle zum Critical Patch Update vom Oktober 2026 zu entnehmen.
Umgehung
Unbekannt. Es wurde keine Massnahme von Oracle gefunden. Allgemeine Massnahme: Netzwerkzugriff auf administrative Schnittstellen und Cloud-Management-Schnittstellen von Siebel einschränken.
Ausnutzung
- Zum Zeitpunkt der Erstellung wurde keine aktive Ausnutzung festgestellt; den aktuellen Status im CISA KEV prüfen.
- Kein öffentlicher Proof of Concept gefunden.
- Die NVD-Analyse war zum Zeitpunkt der Erstellung noch ausstehend.
Unsere Empfehlung
- Prüfen, ob Ihre Organisation Siebel CRM Cloud Applications nutzt, einschliesslich partnergehosteter oder integrierter Instanzen. Falls nicht, ist keine Massnahme nötig.
- Falls im Einsatz: genaue Version bestätigen und den Fix von Oracle sobald bestätigt einspielen.
- Zugriff auf administrative und Cloud-Management-Schnittstellen einschränken und Konten mit niedrigen Berechtigungen überprüfen.
- Logs auf ungewöhnliche HTTP-Aktivitäten prüfen und NVD sowie das Advisory von Oracle auf Updates kontrollieren.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Oracle October 2026 Critical Patch Update www.oracle.com
- Strix: CVE-2026-101446 www.strix.ai
- Vulners NVD: CVE-2026-101446 vulners.com
- Vulners: CVE-2026-101446 (CVE List) vulners.com
- CVE Brief archive, 25 Oct 2026 cvebrief.com
- Vulners NVD: CVE-2026-101445 (sibling CVE, version discrepancy) vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 15:11.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.