Oracle APEX: Fehlende Authentifizierung ermöglicht Übernahme der Plattform
Zusammenfassung
Oracle APEX, Oracles Low-Code-Plattform für Enterprise-Webanwendungen, weist im Bereich General eine Schwachstelle durch fehlende Authentifizierung auf. Ein nicht authentifizierter Angreifer mit Netzwerkzugang über HTTPS kann APEX kompromittieren und übernehmen, mit hohen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit. Es sind weder Zugangsdaten noch Benutzerinteraktion nötig, und die Angriffskomplexität ist gering. Eine Erreichbarkeit aus dem Internet macht die Lage besonders kritisch.
Betroffen
- Oracle APEX 24.1.0 bis 24.1.21
- Oracle APEX 24.2.0 bis 24.2.20
- Oracle APEX 26.1.0 bis 26.1.4
Behoben in
- Behoben im Oracle Critical Patch Update vom Oktober 2026. Genaue behobene APEX-Versionsnummern: Unbekannt.
Umgehung
- Kein Workaround des Herstellers gefunden.
- Provisorische Massnahme (nicht aus einer Herstellerquelle): Zugriff auf APEX-Instanzen auf dem Reverse Proxy oder der Firewall auf benötigte Benutzer und Netzwerke beschränken, bis das Patchen abgeschlossen ist.
Ausnutzung
- Aktive Ausnutzung: Kein Hinweis gefunden Stand 21. bis 22. Oktober 2026. Nicht im CISA-KEV-Katalog aufgeführt zum Zeitpunkt der Prüfung.
- Öffentlicher Proof of Concept: Keiner gefunden.
- EPSS: 0.00576 (geringe Ausnutzungswahrscheinlichkeit).
- CISA SSVC: Exploitation none, Automatable yes, Technical Impact total.
Unsere Empfehlung
- Alle APEX-Instanzen inklusive Entwicklungs- und Testsysteme identifizieren.
- Das Oracle CPU vom Oktober 2026 auf alle APEX-Instanzen 24.1, 24.2 und 26.1 anwenden.
- Bis zum Patchen den Zugriff auf APEX-Instanzen auf benötigte Benutzer und Netzwerke beschränken; nicht aus dem Internet erreichbar machen.
- Web- und Proxy-Logs seit Öffnung des Patch-Fensters auf nicht authentifizierte Anfragen an APEX-Endpunkte prüfen.
- CISA-KEV-Katalog und Herstellerhinweis auf Aktualisierungen prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Oracle Critical Patch Update Advisory October 2026 www.oracle.com
- NVD/CNA record mirror (vulners) vulners.com
- GitHub Advisory Database GHSA-rhq8-7qph-vw39 github.com
- Brandefense Oracle October 2026 CPU (KEV check) brandefense.io
- Positive Technologies PT-2026-119206 vulners.com
- GBHackers Oracle 1,295 security patches gbhackers.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 17:21.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.