Oracle GoldenGate: Unzureichende Zugriffskontrolle im Admin Server Executable

Zusammenfassung

Die Oracle-GoldenGate-Versionen 19.1.0.0.0 bis 19.32.0.0, 21.3 bis 21.23 und 23.4 bis 23.26.3.0.0 sind von CVE-2026-87351 betroffen, einer Schwachstelle in der Komponente Admin Server Executable, die über HTTPS erreichbar ist. Ein Angreifer mit Netzwerkzugriff und einem Konto mit niedrigen Rechten kann das Produkt ohne Benutzerinteraktion vollständig kompromittieren; der CVSS-3.1-Basiswert beträgt 8.8. Für die Ausnutzung wird ein gültiges Konto mit niedrigen Rechten benötigt, der Angreifer muss also zuerst an ein Konto gelangen. Laut den CISA-SSVC-Daten von Oracle sind keine Ausnutzung und keine automatisierte Ausnutzbarkeit bekannt.

Betroffen

• Oracle GoldenGate 19.1.0.0.0 bis 19.32.0.0
• Oracle GoldenGate 21.3 bis 21.23
• Oracle GoldenGate 23.4 bis 23.26.3.0.0

Behoben in

• Oracle GoldenGate 21.x: 21.24.0.0.0 wird von einer Sekundärquelle (Tenable-Plugin-Titel) genannt und ist nicht gegen Oracle verifiziert.
• Oracle GoldenGate 19.x: Unbekannt.
• Oracle GoldenGate 23.x: Unbekannt.
• Alle korrigierten Versionen im Oracle Critical Patch Update Advisory – October 2026 (Rev 2) prüfen, bevor Upgrades geplant werden.

Umgehung

• In den geprüften Quellen ist kein Workaround dokumentiert.
• Den Netzwerkzugriff auf den Port des GoldenGate Admin Server auf bekannte Management-Hosts beschränken.
• Den Admin Server nicht aus dem Internet erreichbar machen.

Ausnutzung

• Es wurden keine Hinweise auf eine Ausnutzung in freier Wildbahn gefunden. Der Status im CISA-KEV-Katalog wurde nicht bestätigt.
• Es wurde kein öffentlicher Proof of Concept gefunden.
• Die Schwachstelle wurde von Positive Technologies gemeldet (Ref. PT-2026-119669).
• EPSS-Daten waren nicht verfügbar.

Unsere Empfehlung

• Im Asset-Inventar prüfen, ob GoldenGate installiert ist.
• Falls installiert, die genaue Version bestätigen und das Oracle Critical Patch Update vom Oktober 2026 oder die korrigierte Build-Version für die eigene Release-Linie einspielen.
• Den Admin Server nicht aus dem Internet erreichbar machen und den Zugriff auf Management-Hosts beschränken.
• Konten mit niedrigen GoldenGate-Berechtigungen prüfen und nicht benötigte Konten entfernen.
• Admin-Logs von GoldenGate auf ungewöhnliche Anmeldungen und Änderungen überwachen.
• Hohe Priorität nur dort ansetzen, wo das Produkt vorhanden und aus weniger vertrauenswürdigen Netzen erreichbar ist.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Oracle Critical Patch Update Advisory – October 2026 www.oracle.com
• NVD record CVE-2026-87351 (vulners) vulners.com
• Strix CVE-2026-87351 www.strix.ai
• Vulners CVELIST:CVE-2026-101601 (secondary, fixed build reference) vulners.com
• Oracle Security Alerts overview www.oracle.com
• Oracle October 2026 Critical Patch Update released (Oracle Security Blog) blogs.oracle.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 11:41.