Oracle Secure Backup: Fehlende Authentifizierung erlaubt Übernahme ohne Anmeldung
Zusammenfassung
Die Oracle-Secure-Backup-Versionen 19.1.0.0.0 und 19.1.0.1.0 enthalten im Modul Backup and Restore eine Schwachstelle, die als kritisch (CVSS 9.8) eingestuft ist. Laut CNA und Oracle ist sie über das Netzwerk per TCP ohne Authentifizierung erreichbar und kann zur vollständigen Übernahme des Produkts führen. Die Risikomatrix von Oracle in Textform enthält zusätzlich die Aussage, dass diese Schwachstelle im Kontext dieses Produkts nicht ausgenutzt werden kann; dies widerspricht der Hauptbewertung und ist noch nicht geklärt.
Betroffen
- Oracle Secure Backup 19.1.0.0.0
- Oracle Secure Backup 19.1.0.1.0
Behoben in
Unbekannt. In den Quellen wurde keine korrigierte Version oder Patchnummer genannt. Die Verfügbarkeit des Patches ist im Oracle Critical Patch Update Advisory (Oktober 2026) oder über My Oracle Support zu prüfen.
Umgehung
- In den Quellen wurde keine offizielle Umgehungsmassnahme gefunden.
- Den Netzwerkzugriff auf den TCP-Dienst von Secure Backup auf die benötigten Administrations- und Backup-Hosts beschränken.
- Bei Oracle nachfragen, ob eine offizielle Massnahme existiert.
Ausnutzung
- Zum Zeitpunkt der Recherche wurde keine Ausnutzung in freier Wildbahn festgestellt.
- Es wurde kein öffentlicher Proof of Concept gefunden.
- Ein Aggregator führt die CVE nicht im CISA-KEV-Katalog (nicht gegen den Katalog verifiziert).
- Die CNA stuft die Ausnutzung als automatisierbar mit vollständiger technischer Auswirkung ein.
Unsere Empfehlung
- Prüfen, ob Systeme mit Secure Backup 19.1.0.0.0 oder 19.1.0.1.0 vorhanden sind, zum Beispiel über ein Asset-Inventar.
- Falls betroffen: sicherstellen, dass der TCP-Dienst nicht aus dem Internet oder aus weniger vertrauenswürdigen Netzsegmenten erreichbar ist.
- Den Oracle-Patch so bald wie verfügbar einspielen; die korrigierte Version aus dem Oracle-Advisory oder My Oracle Support beziehen.
- Bei Oracle nachfragen, was der Hinweis zur fehlenden Ausnutzbarkeit im Kontext dieses Produkts bedeutet.
- Den CISA-KEV-Katalog und die Oracle-Advisories auf Änderungen überwachen.
- CVE-2026-109618 (PHP-Komponente, gleiche Versionen) zusammen mit dieser CVE bewerten.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Oracle Critical Patch Update Advisory, October 2026 www.oracle.com
- Oracle text-form risk matrices, October 2026 www.oracle.com
- Oracle Security Alert CVE-2026-109618 www.oracle.com
- CVE record aggregator (CNA data) vulners.com
- Third-party summary (KEV field) www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 17:22.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.