Oracle heeft in oktober 1295 beveiligingslekken gepatcht, waaronder zes met de maximale CVSS-score van 10.0, die kritieke producten zoals Oracle E-Business Suite en SOA Suite treffen.
Oracle heeft in haar October Critical Patch Update Advisory 1295 beveiligingslekken verholpen, waarvan zes de hoogste kwetsbaarheidscore van 10.0 op de CVSS versie 3.1 schaal kregen toegekend. Deze kritieke kwetsbaarheden treffen verschillende belangrijke Oracle-producten en kunnen leiden tot volledige overname door onbevoegden.
Een van de kwetsbaarheden, CVE-2026-101809, bevindt zich in de Workflow component van de Oracle E-Business Suite. Deze fout maakt het mogelijk voor een niet-geauthenticeerde aanvaller met netwerktoegang via HTTP om de workflow notificatie-mailer te compromitteren, waardoor de aanvaller de controle over Workflow kan overnemen en mogelijk ook andere producten kan beïnvloeden. De kwetsbaarheid treft versies 12.2.3 tot en met 12.2.15 van Workflow.
Drie van de 10.0-kwetsbaarheden zijn gevonden in Oracle SOA Suite, onderdeel van Oracle Fusion Middleware. Zo stelt CVE-2026-91231 in de Adapters component een onbevoegde aanvaller in staat om de SOA Suite over te nemen, met mogelijke impact op gekoppelde producten. Daarnaast zijn er twee kritieke kwetsbaarheden in de Fabric Layer component, CVE-2026-91216 en CVE-2026-91221, die eenvoudig te exploiteren zijn via de T3- of IIOP-protocollen. Deze kwetsbaarheden treffen ondersteunde versies 12.2.1.4.0 en 14.1.2.0.0 van Oracle SOA Suite.
Een andere kritieke kwetsbaarheid met score 10.0 bevindt zich in Oracle Access Manager, CVE-2026-87337. Deze maakt het mogelijk voor een onbevoegde aanvaller met netwerktoegang via HTTP om onbevoegd kritieke data te creëren, verwijderen of wijzigen in versies 12.2.1.4.0 en 14.1.2.1.0 van Oracle Access Manager.
De laatste kwetsbaarheid met maximale score is CVE-2026-91299 in JD Edwards EnterpriseOne Orchestrator. Hiermee kan een onbevoegde aanvaller via HTTP de orchestrator overnemen in versies 9.2.0.0 tot en met 9.2.26.5.
