Kritiek beveiligingslek ontdekt in Oracle E-Business Suite
Er is een ernstig beveiligingslek aan het licht gekomen in de Application Object Library van de veelgebruikte Oracle E-Business Suite. De kwetsbaarheid, geregistreerd onder het nummer CVE-2026-101767, heeft van Oracle de maximale risicoscore van 9,8 (Kritiek) gekregen. Het lek stelt ongeautoriseerde aanvallers op afstand in staat om het getroffen onderdeel volledig over te nemen.
De kwetsbaarheid bevindt zich in de kerncomponent van de Oracle Application Object Library en treft de ondersteunde versies 12.2.3 tot en met 12.2.15. Volgens de beveiligingsanalyse is het lek zeer eenvoudig uit te buiten via het HTTP-protocol. Een aanvaller heeft hiervoor geen inloggegevens, speciale privileges of interactie van een gebruiker nodig.
De impact van een succesvolle aanval is groot. Het lek tast alle drie de pijlers van informatiebeveiliging aan: vertrouwelijkheid, integriteit en beschikbaarheid. Aanvallers kunnen hiermee gevoelige bedrijfsgegevens inzien, gegevens aanpassen of de dienstverlening volledig platleggen.
De kwetsbaarheid wordt toegeschreven aan fouten rondom de authenticatie van gebruikers, waaronder het ontbreken van authenticatie bij kritieke functies (CWE-287 en CWE-306). Het Amerikaanse beveiligingsagentschap NVD is momenteel bezig met een verdere verrijking van de gegevens, terwijl Oracle in zijn periodieke beveiligingsupdate van oktober 2026 al referenties en informatie over oplossingen beschikbaar heeft gesteld.
Organisaties die gebruikmaken van de getroffen versies van de Oracle E-Business Suite worden dringend geadviseerd om de beschikbare beveiligingspatches van de leverancier zo snel mogelijk te installeren om misbruik te voorkomen.
Over Witold Kepinski
