Oracle Secure Backup: Unzureichende Zugriffskontrolle in Device Management
Zusammenfassung
Oracle Secure Backup in den Versionen 19.1.0.0.0 und 19.1.0.1.0 enthält eine Schwachstelle in der Komponente Device Management and Support, die als unzureichende Zugriffskontrolle (CWE-284) eingestuft ist. Ein Angreifer mit niedrigen Berechtigungen und Anmeldung an der Infrastruktur, auf der Oracle Secure Backup läuft, kann das Produkt übernehmen, mit hohen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit. Der Angriffsvektor ist lokal (AV:L), daher ist das Produkt nicht direkt aus dem Internet erreichbar, doch genügt bereits ein gestohlenes Zugangsdaten-Konto mit niedrigen Berechtigungen oder ein kompromittierter Arbeitsplatz im Backup-Netzwerk.
Betroffen
- Oracle Secure Backup 19.1.0.0.0
- Oracle Secure Backup 19.1.0.1.0
Behoben in
- Unbekannt. Oracle führt diese CVE im Critical Patch Update vom Oktober 2026 als behoben auf, die Build-Nummer der behobenen Version wurde jedoch nicht abgerufen. Dokumentation zur Patch-Verfügbarkeit von Oracle oder My Oracle Support prüfen.
Umgehung
- Unbekannt. Die Oracle-Warnmeldung beschreibt für diese CVE keinen Workaround.
Ausnutzung
- Keine Hinweise auf Ausnutzung in freier Wildbahn, auf einen öffentlichen Proof of Concept oder einen Eintrag im CISA-KEV-Katalog gefunden.
- CISA-SSVC-Bewertung: Ausnutzung keine, nicht automatisierbar, totale technische Auswirkung.
- EPSS-Score 0.00171, also sehr niedrig.
Unsere Empfehlung
- In der eigenen Umgebung prüfen, ob Oracle Secure Backup 19.1.x eingesetzt wird.
- Den Oracle-Patch vom Oktober 2026 einspielen, sobald die behobene Build-Nummer bestätigt ist. Zusammen mit dem separaten Out-of-Band-Fix für CVE-2026-109618 und CVE-2026-109619 einspielen, die ohne Authentifizierung über das Netzwerk ausnutzbar ist.
- Die Anmeldung am Backup-Server auf namentlich bekannte Administratoren beschränken, nicht genutzte Konten entfernen und den Backup-Server von allgemeinen Benutzernetzwerken fernhalten.
- Anmeldungen am Backup-Server überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Oracle Critical Patch Update, October 2026 www.oracle.com
- Oracle CPU October 2026 text risk matrices www.oracle.com
- Oracle security alert CVE-2026-109618 and CVE-2026-109619 www.oracle.com
- CVE record mirror (Vulners) vulners.com
- Tenable, October 2026 CPU summary www.tenable.com
- Strix CVE aggregator (third party) www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 23:28.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.