Oracle Siebel CRM Deployment: Schwachstelle in der Server Infrastructure
Zusammenfassung
Oracle Siebel CRM Deployment in den Versionen 17.0 bis einschliesslich 26.9 enthält eine Schwachstelle in der Komponente Server Infrastructure. Ein Angreifer mit einem Konto mit niedrigen Berechtigungen und Netzwerkzugriff über HTTP kann Daten erstellen, ändern oder löschen, auf kritische Daten zugreifen und den Dienst teilweise stören. Eine Benutzerinteraktion ist nicht erforderlich. Oracle stuft die Schwachstelle mit CVSS 3.1 8.3 (Hoch) ein; die CWE-Klassifikation wird noch überprüft.
Betroffen
- Siebel CRM Deployment 17.0 bis einschliesslich 26.9
- Hinweis: Ein Tenable-Plugin verweist auf Versionen bis 26.8. Den genauen Bereich im Oracle-Advisory überprüfen.
Behoben in
Unbekannt. Die korrigierte Version ist in den verfügbaren Quellen nicht bestätigt. Die Patch-ID und die korrigierte Version sind dem Oracle Critical Patch Update vom Oktober 2026 zu entnehmen.
Umgehung
- Vom Hersteller dokumentierte Workaround sind nicht bekannt.
- Generische Übergangsmassnahme, nicht von Oracle für diese CVE bestätigt: Den externen HTTP-Zugriff auf den Siebel-Server auf vertrauenswürdige IP-Adressen oder interne Netzwerksegmente beschränken.
Ausnutzung
- Gemäss VulDB ist kein öffentlicher Exploit verfügbar.
- Eine Ausnutzung in freier Wildbahn wurde nicht festgestellt.
- CISA SSVC: keine Ausnutzung, nicht automatisierbar, partielle technische Auswirkung.
Unsere Empfehlung
- Prüfen, ob Siebel CRM Deployment 17.0 bis 26.9 im Einsatz ist.
- Prüfen, ob die HTTP-Schnittstelle aus dem Internet, von Partner- oder Gastnetzwerken erreichbar ist, und den Zugriff auf vertrauenswürdige Netzwerke beschränken.
- Das Oracle Critical Patch Update vom Oktober 2026 einspielen, sobald die korrigierte Version bestätigt ist.
- Konten mit niedrigen Berechtigungen überprüfen und die Anwendung auf ungewöhnliche Aktivitäten überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Oracle Critical Patch Update October 2026 www.oracle.com
- VulDB entry 423134 vuldb.com
- Vulners CVE record CVE-2026-101459 vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 13:33.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.