Oracle Agile PLM for Process: Schwachstelle in Product Quality Management
Zusammenfassung
Eine Schwachstelle in der Komponente Product Quality Management von Oracle Agile Product Lifecycle Management for Process erlaubt Angriffe über HTTP aus dem Netzwerk. Der CNA-Eintrag nennt Version 6.2.4 als betroffen und bewertet die Schwachstelle mit CVSS 3.1 8.0 (hoch), mit möglicher vollständiger Übernahme von Vertraulichkeit, Integrität und Verfügbarkeit. Für den Angriff ist ein Konto mit niedrigen Rechten sowie eine Aktion einer zweiten Person, die nicht der Angreifer ist, erforderlich.
Betroffen
- Oracle Agile Product Lifecycle Management for Process 6.2.4 (gemäss CNA-Eintrag)
- Die Advisory von Oracle wurde nicht vollständig geprüft; Oracle kann weitere betroffene Versionen wie 9.3.6 aufführen, die in der Advisory überprüft werden müssen
Behoben in
Unbekannt. Prüfen Sie den Abschnitt zu Agile PLM im Oracle Critical Patch Update vom Oktober 2026 oder My Oracle Support auf den Patch für Ihre Version.
Umgehung
Unbekannt. Für diese CVE wurde kein Workaround von Oracle gefunden.
- Den Zugriff auf die PLM-Weboberfläche bis zum Patch auf interne Netze oder VPN beschränken
- Eine direkte Exposition des PLM-Systems im Internet entfernen
- Konten mit Zugriff auf Product Quality Management überprüfen und einschränken
Ausnutzung
- Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden; Status im CISA KEV nicht geprüft
- Kein öffentlicher Proof of Concept gefunden
- Ein Aggregator führt einen EPSS-Wert von 0.00359
Unsere Empfehlung
- Prüfen, ob Oracle Agile PLM for Process im Einsatz ist und welche Version installiert ist
- Prüfen, ob das System aus dem Internet erreichbar ist, und diese Exposition entfernen
- Das Critical Patch Update vom Oktober 2026 oder den von Oracle für Ihre Version aufgeführten Patch einspielen
- Benutzerkonten überprüfen und Logs bis zur Behebung auf ungewöhnliche Aktivitäten überwachen
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Oracle Security Alert: October 2026 Critical Patch Update www.oracle.com
- CVE-2026-101602 record (Vulners) vulners.com
- CVE-2026-101602 (Strix) www.strix.ai
- Oracle Security Alert: September 2026 Critical Patch Update www.oracle.com
- Oracle Security Alerts index www.oracle.com
- Third-party analysis of Oracle Agile PLM vulnerabilities domainsi.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 21:15.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.