Oracle MySQL Server/Cluster: Unzureichende Zugriffskontrolle in Client-Programmen
Zusammenfassung
Oracle MySQL Server und MySQL Cluster in mehreren Versionen der Reihen 8.4, 9.7 und 26.7 (Cluster zusätzlich 8.0) enthalten eine unzureichende Zugriffskontrolle im Komponente Client-Programme. Ein nicht authentifizierter Angreifer mit Netzwerkzugriff kann unter hoher Angriffskomplexität die Datenbank übernehmen und die Vertraulichkeit, Integrität und Verfügbarkeit beeinträchtigen. Oracle bewertet den CVSS-3.1-Basiswert mit 8.1. Es ist keine Ausnutzung und kein öffentlicher Proof of Concept bekannt.
Betroffen
- MySQL Server 8.4.0 bis 8.4.12
- MySQL Server 9.7.0 bis 9.7.3
- MySQL Server 26.7.0 bis 26.7.1
- MySQL Cluster 8.0.0 bis 8.0.49
- MySQL Cluster 8.4.0 bis 8.4.12
- MySQL Cluster 9.7.0 bis 9.7.3
- MySQL Cluster 26.7.0 bis 26.7.1
Die Versionstabelle in der Oracle-Warnung wurde nicht überprüft.
Behoben in
- MySQL Server 8.4.13, 9.7.4 und 26.10.0 (aus Scanner-Daten, noch nicht von Oracle für diese CVE bestätigt)
- MySQL Cluster 8.4.13, 9.7.4 und 26.10.0 (gleicher Vorbehalt)
- MySQL Cluster 8.0: Unbekannt. Die Version 8.0.50 erscheint nur in Scanner-Daten, und MySQL 8.0 hat das Lebensende mit 8.0.46 erreicht.
Umgehung
- Unbekannt: Oracle hat für diese CVE keine Gegenmassnahme veröffentlicht.
- Falls das Patchen verzögert wird, den Netzwerkzugriff auf den MySQL-Port (standardmässig 3306) auf Applikationshosts beschränken.
Ausnutzung
- Keine bestätigte Ausnutzung bekannt. CISA SSVC: Exploitation none, nicht automatisierbar.
- Kein öffentlicher Proof of Concept gefunden.
- EPSS-Wert 0.00348 (niedrig).
Unsere Empfehlung
- Alle MySQL-Instanzen inventarisieren, inklusive Cluster, Docker-Images und Managed Services, und die genauen Versionen prüfen.
- MySQL Server je nach Release auf 8.4.13, 9.7.4 oder 26.10.0 aktualisieren und bei Oracle nachfragen, ob ein Patch für MySQL Cluster 8.0 existiert.
- Sicherstellen, dass Datenbank-Ports nicht aus dem Internet erreichbar sind.
- Aus dem Internet erreichbare Instanzen priorisieren.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Oracle Security Alerts: October 2026 CPU www.oracle.com
- Oracle MySQL October 2026 GA releases blogs.oracle.com
- MySQL 8.4.13 release notes dev.mysql.com
- Ubuntu security notice CVE-2026-101770 ubuntu.com
- OSV entry CVE-2026-101770 (Vulners) vulners.com
- NVD record CVE-2026-101770 (Vulners) vulners.com
- Oracle MySQL vulnerabilities October 2026 (SecurityOnline) securityonline.info
- Oracle October 2026 CPU analysis (Tenable) www.tenable.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 18:24.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.