Oracle Essbase: Unzureichende Zugriffskontrolle führt zur Übernahme
Zusammenfassung
Oracle Essbase 21.8.3.0.0 enthält eine Schwachstelle durch unzureichende Zugriffskontrolle (CWE-284), die über das Netzwerk via T3 und IIOP ausgenutzt werden kann. Ein Angreifer mit einem Konto mit niedrigen Privilegien kann Essbase kompromittieren, und die Auswirkungen können sich auf weitere Produkte erstrecken, da sich der Scope ändert. Oracle stuft die Schwachstelle mit CVSS 9.9 (kritisch) ein, eine vollständige Übernahme von Essbase ist möglich.
Betroffen
- Oracle Essbase 21.8.3.0.0 (gemäss Oracle-CNA-Eintrag)
Behoben in
Unbekannt. Prüfen Sie das Oracle-Sicherheitsupdate (CPU) vom Oktober 2026 und My Oracle Support auf den Essbase-Patch, der CVE-2026-91663 abdeckt.
Umgehung
Unbekannt. In den geprüften Quellen wurde kein Workaround des Herstellers gefunden.
- T3- und IIOP-Zugriff nur auf vertrauenswürdige Netzwerke beschränken (eigene Empfehlung, nicht aus den Quellen).
Ausnutzung
- Zum Zeitpunkt der Recherche nicht im CISA-KEV-Katalog aufgeführt.
- CISA SSVC: Exploitation none, Automatable no.
- Per 30. Okt. 2026 ist kein öffentlicher Exploit-Code bestätigt. CISA-KEV erneut prüfen.
Unsere Empfehlung
- Prüfen, ob Oracle Essbase überhaupt installiert ist.
- Sobald die abdeckende Patch-ID bestätigt ist, den Essbase-Patch aus dem CPU vom Oktober 2026 einspielen.
- T3 und IIOP aus nicht vertrauenswürdigen Netzwerken blockieren und Essbase nicht ins Internet exponieren.
- Konten mit niedrigen Privilegien überprüfen und einschränken.
- Essbase-Logs bis zur abgeschlossenen Patchung auf ungewöhnliche Aktivitäten überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Oracle Critical Patch Update Advisory - October 2026 www.oracle.com
- OpenCVE: CVE-2026-91663 app.opencve.io
- CVE-2026-91663 on threatint CVE mirror cve.threatint.com
- TheHackerWire: CVE-2026-91663 www.thehackerwire.com
- Tenable: Oracle October 2026 CPU analysis www.tenable.com
- Waratek: Oracle October 2026 CPU waratek.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 15:02.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.