Oracle JD Edwards EnterpriseOne Tools: Schwachstelle ermöglicht Übernahme des Systems
Zusammenfassung
CVE-2026-91296 betrifft Oracle JD Edwards EnterpriseOne Tools in der Komponente Enterprise Infrastructure SEC in den unterstützten Versionen 9.2.0.0 bis 9.2.26.5. Ein nicht authentifizierter Angreifer mit Netzwerkzugriff über HTTP kann das Produkt kompromittieren, und laut Hersteller kann ein erfolgreicher Angriff zu einer Übernahme von JD Edwards EnterpriseOne Tools führen. Der Angriff erfordert eine Interaktion durch eine andere Person als den Angreifer, zum Beispiel durch das Öffnen eines präparierten Links, und der CVSS-Basiswert beträgt 8.8.
Betroffen
- Oracle JD Edwards EnterpriseOne Tools, unterstützte Versionen 9.2.0.0 bis 9.2.26.5
- Komponente: Enterprise Infrastructure SEC
Behoben in
- Unbekannt. Die Korrektur soll im Critical Patch Update von Oracle vom Oktober 2026 enthalten sein, der genaue Patch bzw. die korrigierte Version für diese CVE konnte jedoch nicht verifiziert werden.
Umgehung
- Im CVE-Eintrag ist kein Workaround des Herstellers veröffentlicht.
- Die Einschränkung des Netzwerkzugriffs auf die HTTP-Schnittstellen von EnterpriseOne Tools ist eine allgemeine Schutzmassnahme und keine Empfehlung des Herstellers.
Ausnutzung
- Keine Hinweise auf eine Ausnutzung in freier Wildbahn gefunden.
- Nicht im CISA-KEV-Katalog aufgeführt. CISA-SSVC-Bewertung: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
- In den geprüften Quellen wurde kein öffentlicher Proof of Concept gefunden.
Unsere Empfehlung
- Prüfen, ob JD Edwards EnterpriseOne Tools 9.2.x im Einsatz ist.
- Die korrigierte Version im Sicherheitshinweis von Oracle zum Critical Patch Update vom Oktober 2026 verifizieren und einspielen.
- Bis zur Korrektur den Zugriff auf die HTTP-Schnittstellen von Tools einschränken, insbesondere aus dem Internet und aus Partnernetzen.
- Benutzer im Erkennen von Phishing und präparierten Links schulen.
- Falls JD Edwards EnterpriseOne Orchestrator eingesetzt wird, CVE-2026-91299 separat prüfen.
- Den NVD-Eintrag überwachen, der zum Zeitpunkt der Recherche noch auf die Analyse wartete.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Oracle Critical Patch Update October 2026 www.oracle.com
- OpenCVE CVE-2026-91296 app.opencve.io
- Strix CVE-2026-91296 www.strix.ai
- Vulners CVE-2026-91296 vulners.com
- Brandefense Oracle October 2026 CPU analysis brandefense.io
- OpenCVE CVE-2026-91299 (related Orchestrator flaw) app.opencve.io
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 11:32.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.