Oracle Solaris: Nicht näher spezifizierte Schwachstelle in der Utility-Komponente
Zusammenfassung
Oracle Solaris 11.3 und 11.4 sind von einer Schwachstelle in der Utility-Komponente betroffen, die über HTTP erreichbar ist. Laut Oracle kann ein Angreifer mit niedrigen Berechtigungen und Netzwerkzugriff das System übernehmen, mit hohen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit (CVSS 8.8). Der NVD-Eintrag war noch in Analyse, und die CWE (CWE-200, Offenlegung von Informationen) kann sich ändern.
Betroffen
- Oracle Solaris 11.3
- Oracle Solaris 11.4
Behoben in
Unbekannt. Prüfen Sie das Advisory von Oracle zum Critical Patch Update vom Oktober 2026 auf die korrigierten Versionen für Solaris 11.3 und 11.4.
Umgehung
Kein Workaround des Herstellers bekannt. Übergangsmassnahmen bis zum Patch:
- Zugriff auf den HTTP-Dienst von Solaris auf Management-Netze beschränken.
- Nicht benötigte Konten entfernen und starke Passwörter für Konten mit niedrigen Berechtigungen erzwingen.
- HTTP-Logs auf ungewöhnliche Aktivitäten prüfen.
Ausnutzung
- Oracle meldet keine Ausnutzung in freier Wildbahn.
- Stand 21. Okt. 2026 nicht im CISA-KEV-Katalog aufgeführt.
- Kein öffentlicher Proof of Concept gefunden.
- CISA SSVC: nicht automatisierbar.
Unsere Empfehlung
- Alle Solaris-11.3- und 11.4-Systeme im Asset-Inventar identifizieren.
- Das Oracle CPU vom Oktober 2026 so rasch wie möglich einspielen.
- Systeme, die aus dem Internet erreichbar sind oder mit nicht vertrauenswürdigen Benutzern geteilt werden, hoch priorisieren.
- Auf Solaris-11.4-Systemen zusätzlich CVE-2026-101537 (CVSS 9.8, gleiche Komponente) prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Oracle Critical Patch Update Advisory October 2026 www.oracle.com
- CVE record CVE-2026-47025 (vulners) vulners.com
- Strix CVE-2026-47025 www.strix.ai
- GovCERT.HK alert www.govcert.gov.hk
- Brandefense: Oracle October 2026 CPU brandefense.io
- Breach-signal: Oracle October 2026 CPU breach-signal.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 11:45.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.