Oracle Essbase: Nicht näher spezifizierte Sicherheitslücke ermöglicht Übernahme
Zusammenfassung
Eine Sicherheitslücke in Oracle Essbase 21.8.3.0.0 erlaubt einem Angreifer mit niedrigen Berechtigungen und Netzwerkzugriff über HTTP, das Produkt zu übernehmen. Da der CVSS-Scope geändert ist, können erfolgreiche Angriffe auch andere Produkte beeinträchtigen. Der CVSS-Basiswert beträgt 9.9 (kritisch). Der CVE-Eintrag beschreibt den Fehlertyp über die Komponente Security hinaus nicht.
Betroffen
- Oracle Essbase 21.8.3.0.0 (einzige aufgeführte Version)
Behoben in
Unbekannt. Die korrigierte Version ist nicht bestätigt. Prüfen Sie das Oracle-Advisory der Critical Patch Update vom Oktober 2026 auf den Patch-Stand von 21.8.x.
Umgehung
Unbekannt. Der CVE-Eintrag nennt keine Workaround-Massnahme. Bis ein Patch bestätigt ist, beschränken Sie den Netzwerkzugriff auf die HTTP-Schnittstellen von Essbase auf bekannte interne Hosts oder VPN-Benutzer.
Ausnutzung
- Der Ausnutzungsstatus widerspricht sich zwischen den Quellen und ist nicht verifiziert. Eine sekundäre Quelle behauptet einen Eintrag im CISA-KEV-Katalog, eine andere zeigt ihn nicht.
- Der Oracle-Eintrag zeigt für CISA SSVC die Ausnutzung als none und die Automatisierbarkeit als no.
- Für diese CVE wurde kein öffentlicher Proof of Concept gefunden.
Unsere Empfehlung
- Prüfen Sie, ob in Ihrer Umgebung Essbase-Instanzen der Version 21.8.x existieren, auch solche, die von Finanz- oder Planungsteams genutzt werden.
- Entfernen Sie sofort die Internetexposition von Essbase-Instanzen und beschränken Sie den Zugriff auf interne Netze oder VPN.
- Überprüfen und entfernen Sie nicht benötigte Konten mit Essbase-Zugriff, da die Lücke niedrige Berechtigungen voraussetzt.
- Spielen Sie den Oracle-Patch vom Oktober 2026 für Essbase und, falls eingesetzt, für WebLogic Server ein, sobald eine korrigierte Version bestätigt ist.
- Überwachen Sie die HTTP-Zugriffsprotokolle auf ungewöhnliche administrative Anfragen.
- Prüfen Sie den KEV-Status direkt bei CISA, bevor Sie die endgültige Priorität festlegen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Oracle Critical Patch Update October 2026 www.oracle.com
- OpenCVE: CVE-2026-91637 app.opencve.io
- Vulners: CVE-2026-91637 vulners.com
- Waratek: Oracle October 2026 Critical Patch Update waratek.com
- CVE Brief archive, 2026-10-25 cvebrief.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 15:03.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.