Oracle JD Edwards EnterpriseOne Tools: Unzureichende Zugriffskontrolle
Zusammenfassung
Eine Schwachstelle in der Komponente Monitoring and Diagnostics SEC von Oracle JD Edwards EnterpriseOne Tools erlaubt es einem authentifizierten Benutzer mit niedrigen Rechten, das Produkt zu kompromittieren. Ein Angreifer mit Anmeldung auf der Infrastruktur, auf der die Tools laufen, kann kritische Daten erstellen, ändern oder löschen sowie auf alle von den Tools erreichbaren Daten zugreifen, und die Auswirkungen können über JD Edwards hinausreichen. Für die Ausnutzung ist keine Benutzerinteraktion nötig, der Angreifer benötigt jedoch einen gültigen lokalen Zugang.
Betroffen
- Oracle JD Edwards EnterpriseOne Tools, unterstützte Versionen 9.2.0.0 bis 9.2.26.5
Behoben in
- Behoben im Oracle Critical Patch Update vom Oktober 2026. Der konkrete Patch und die minimale Release-Version für diese CVE sind unbekannt; prüfen Sie die Dokumentation von Oracle.
Umgehung
Unbekannt. Es wurde kein vom Hersteller dokumentierter Workaround gefunden; das Patchen ist die einzige bestätigte Behebung.
Ausnutzung
- CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
- Nicht im CISA-KEV-Katalog; EPSS unter 1 Prozent.
- Zum Zeitpunkt der Recherche wurde kein öffentlicher Proof of Concept gefunden.
Unsere Empfehlung
- Prüfen Sie die installierte Version von EnterpriseOne Tools und spielen Sie den Oktober-2026-CPU-Patch inklusive des minimalen Patch-Levels von Oracle ein.
- Patchen Sie JD Edwards Orchestrator im selben Fenster, sofern er aktiviert ist, da für ihn dringendere Oktober-Fixes existieren.
- Überprüfen Sie Konten mit Anmeldeberechtigung auf JD-Edwards-Servern und reduzieren Sie diese.
- Überwachen Sie Herstellerupdates, da die NVD-Analyse noch läuft.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Oracle Critical Patch Update October 2026 www.oracle.com
- OpenCVE CVE-2026-91266 app.opencve.io
- Strix CVE-2026-91266 www.strix.ai
- Vulners CVE-2026-91266 vulners.com
- VulDB 423851 vuldb.com
- Waratek: Oracle October 2026 CPU waratek.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 12:14.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.