Oracle Agile PLM for Process: Schwachstelle in Product Quality Management
Zusammenfassung
Oracle Agile Product Lifecycle Management for Process in Version 6.2.4, Komponente Product Quality Management, ist betroffen. Ein Angreifer mit niedrigen Berechtigungen und Netzwerkzugriff über HTTP kann kritische Daten erstellen, ändern oder löschen und den Dienst teilweise stören. Ein gültiges Benutzerkonto ist erforderlich und eine Interaktion durch Benutzer ist nicht nötig. Oracle bewertet den CVSS-3.1-Basiswert mit 8.3 (hoch).
Betroffen
- Oracle Agile Product Lifecycle Management for Process 6.2.4 (Komponente Product Quality Management)
Behoben in
Unbekannt. Für 6.2.4 wurde keine korrigierte Version und kein Patch bestätigt. Es darf nicht davon ausgegangen werden, dass die Fixes für Agile PLM 9.3.6 gelten; das Oracle-Advisory vom Oktober 2026 ist zu prüfen.
Umgehung
Unbekannt. In den geprüften Quellen wurde kein Workaround des Herstellers gefunden.
- Eigene Empfehlung, keine Herstellerangabe: Den HTTP-Zugriff auf die PLM-Anwendung auf interne Netzwerke oder VPN beschränken.
- Nicht benötigte Benutzerkonten entfernen.
Ausnutzung
Unbekannt. Es wurden keine Ausnutzung in freier Wildbahn und kein öffentlicher Proof of Concept gefunden. CISA SSVC: Exploitation none, nicht automatisierbar, partielle technische Auswirkung. Der EPSS- und KEV-Status wurde nicht gefunden.
Unsere Empfehlung
- Falls Agile PLM for Process 6.2.4 im Einsatz ist, diese Schwachstelle mit hoher Priorität behandeln.
- Die korrigierte Version im Advisory zum Critical Patch Update vom Oktober 2026 von Oracle bestätigen und einspielen.
- HTTP-Zugriff auf interne Netzwerke oder VPN beschränken und Benutzerkonten überprüfen.
- PLM-Zugriffsprotokolle auf ungewöhnliche Erstellungs-, Änderungs- oder Löschaktivitäten überwachen.
- Falls das Produkt nicht eingesetzt wird, ist keine Massnahme nötig.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Oracle Security Alert: October 2026 Critical Patch Update www.oracle.com
- Oracle Blog: Critical Patch Update for October 2026 now available blogs.oracle.com
- Oracle Security Alerts index (Rev 2 updates) www.oracle.com
- Strix CVE record CVE-2026-101593 www.strix.ai
- Vulners NVD record CVE-2026-101593 vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 13:32.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.