Oracle MySQL Connector/J: Schwachstelle ermöglicht Übernahme über HTTP

Zusammenfassung

Eine Schwachstelle in Oracle MySQL Connectors, Komponente Connector/J, betrifft laut CVE-Eintrag die Version 26.7.0. Ein nicht authentifizierter Angreifer mit Netzwerkzugriff über HTTP kann den Connector möglicherweise übernehmen, mit hohen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit. Der Angriff gilt als schwer auszunutzen (AC:H), und das reale Risiko besteht vor allem für aus dem Internet erreichbare Java-Anwendungen, die den Treiber enthalten, und weniger für den MySQL-Server selbst.

Betroffen

• Oracle MySQL Connectors, Komponente Connector/J, Version 26.7.0 (laut CVE-Eintrag)
• Möglicherweise 26.7.1 (im Auszug des Oracle-CPU-Advisories vom Oktober 2026 aufgeführt; noch nicht bestätigt)
• Status älterer 9.x-Zweige: Unbekannt.

Behoben in

• Connector/J 26.10.0 (GA-Version vom 21.10.2026 laut Versionshinweisen des Herstellers; der Bezug zu dieser CVE ist sekundär und muss im Oracle-Advisory bestätigt werden)

Umgehung

• Keine in den ausgewerteten Quellen dokumentiert.
• Falls ein Update verzögert wird, den Zugriff auf die Anwendung und ihre HTTP-Schnittstelle auf notwendige Hosts beschränken.

Ausnutzung

• Eintrag im CISA-KEV-Katalog: Unbekannt; direkt im Katalog prüfen.
• Bestätigte Ausnutzung in freier Wildbahn: in den ausgewerteten Quellen nicht gefunden.
• Öffentlicher Proof of Concept: nicht gefunden.
• EPSS: etwa 0,4 % (niedrig).
• CISA SSVC: Exploitation none, Automatable no, Technical Impact total.

Unsere Empfehlung

• Erfassen, wo Connector/J eingebunden ist, einschliesslich Maven-, Gradle- und WAR-Dateien sowie Drittsoftware.
• Aus dem Internet erreichbare Java-Anwendungen mit diesem Treiber priorisieren.
• Auf Connector/J 26.10.0 oder eine im Oracle-CPU-Advisory vom Oktober 2026 bestätigte fixe Version aktualisieren.
• Beachten, dass Connector/J 26.7 nur MySQL 8.4 und neuer unterstützt; MySQL-8.0-Installationen prüfen.
• Den HTTP-Zugriff auf betroffene Anwendungen bis zum Patch überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Oracle Security Alert Advisory - October 2026 CPU www.oracle.com
• Connector/J release notes (PDF) downloads.mysql.com
• Connector/J release notes dev.mysql.com
• OpenMetadata pull request 36205 (secondary link to CVE) github.com
• Strix CVE record CVE-2026-101768 www.strix.ai
• Tenable: Oracle October 2026 CPU www.tenable.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 18:23.