Oracle Critical Patch Update, 2026. augusztus: egy kihasznált Identity Manager-sérülékenység a 390 javítás között

A kiadás röviden

Oracle kiadta a 2026. augusztusi Critical Security Patch Update biztonsági közleményt, amely 390 CVE-t foglal magában. A súlyosság szerinti megoszlás: 84 kritikus, 247 magas, 56 közepes és 3 alacsony. A felsorolt CVE-k közül 261 az Oracle Fusion Middleware-hez tartozik, ezt követi az Oracle E-Business Suite 120, az Oracle Database Server 5, az Oracle Java SE pedig 4 érintett CVE-vel.

Egy CVE már szerepel a CISA KEV listáján, és a CISA SSVC értékelése szerint aktív: a CVE-2025-61757 az Oracle Identity Manager REST WebServices komponensében, amelyet 2025. október 21-én hoztak nyilvánosságra. A KEV-határidő 2025. december 12. A kiadásban egyetlen másik CVE sem szerepel kihasználtként.

A legfontosabbak

Oracle Identity Manager. A CVE-2025-61757 a legfontosabb. Ez egy hitelesítést nem igénylő HTTP-sérülékenység a REST WebServices komponensben, a 12.2.1.4.0 és a 14.1.2.1.0 verziót érinti, CVSS-értéke 9,8, és az Identity Manager átvételét teszi lehetővé. A CISA KEV és a CISA SSVC értékelése szerint is aktív, EPSS-értéke pedig 88,6. A KEV-határidő 2025. december 12.

Az első körbe tartozik további két Identity Manager-sérülékenység is: a CVE-2026-60720 és a CVE-2026-61066 egyaránt 9,9-es CVSS-értékű, az OIM Legacy UI-t érinti – az előbbi HTTP-n, az utóbbi RMI-n keresztül –, alacsony jogosultságot igényel, és az Identity Manager átvételét teszi lehetővé.

Oracle Internet Directory. A CVE-2026-61241 10,0-es CVSS-értékű sérülékenység. Hitelesítést nem igénylő, LDAP-hozzáféréssel rendelkező támadó a hálózaton keresztül átveheti az Oracle Internet Directoryt; az érintett verziók: 12.2.1.4.0 és 14.1.2.1.0. A CVE-2026-61248 egy további, az OID LDAP-felületét érintő sérülékenység, amely alacsony jogosultságot igényel, CVSS-értéke 9,9.

Oracle WebLogic Server. A CVE-2026-60702 9,9-es CVSS-értékű sérülékenység, amely T3-on vagy IIOP-n keresztül alacsony jogosultságú támadó számára is elérhető, és a felsorolt verziók mindegyikében átvételt tesz lehetővé: 12.2.1.4.0, 14.1.1.0.0, 14.1.2.0.0, 15.1.1.0.0.

Oracle WebCenter Enterprise Capture. A CVE-2026-60916 HTTP-n keresztül hitelesítés nélkül kihasználható; jogosulatlan adatmódosítást, részleges olvasást és részleges szolgáltatásmegtagadást tesz lehetővé.

Oracle Managed File Transfer. A CVE-2026-61003 9,9-es CVSS-értékű, alacsony jogosultságot igénylő sérülékenység, amely T3-on vagy IIOP-n keresztül érhető el, és az átvételt teszi lehetővé.

Javítási sorrend

1. CVE-2025-61757 – Oracle Identity Manager (REST WebServices). Először a gyártói javítást vagy az enyhítő intézkedéseket alkalmazza. A CISA KEV és a CISA SSVC értékelése szerint is aktív; a KEV-határidő 2025. december 12. Érintett verziók: 12.2.1.4.0, 14.1.2.1.0.

1. CVE-2026-61241 – Oracle Internet Directory. Hitelesítés nélküli LDAP-alapú átvétel 10,0-es CVSS-értékkel. Minden internet felől elérhető OID LDAP-kiszolgáló esetén kezelje kiemelten. Érintett verziók: 12.2.1.4.0, 14.1.2.1.0.

1. CVE-2026-60916 – Oracle WebCenter Enterprise Capture. Hitelesítés nélküli, hatókörváltozással járó HTTP-sérülékenység. Ha elérhető, kezelje kiemelten. Érintett verziók: 12.2.1.4.0, 14.1.2.0.0.

1. CVE-2026-60702 – Oracle WebLogic Server. Alacsony jogosultságot igénylő T3/IIOP-alapú átvétel; különösen akkor kezelje kiemelten, ha a T3/IIOP elérhető. Érintett verziók: 12.2.1.4.0, 14.1.1.0.0, 14.1.2.0.0, 15.1.1.0.0.

1. CVE-2026-61248 – Oracle Internet Directory; CVE-2026-60720 és CVE-2026-61066 – Oracle Identity Manager; CVE-2026-61003 – Oracle Managed File Transfer. Alacsony jogosultságot igénylő, 9,9-es CVSS-értékű, átvételt lehetővé tevő sérülékenységek. A hitelesítést nem igénylő tételek után alkalmazza őket.

1. A fennmaradó Critical Patch Update. A teljes kiadást is alkalmazza: a 390 CVE között 84 kritikus és 247 magas minősítés található. Kezelje kiemelten a Fusion Middleware-t és az E-Business Suite-ot, majd a Database Servert és a Java SE-t.

A javításon túl

Egy ekkora kiadást a következő hónapban könnyebb kezelni, ha a szervezet már feltérképezte az Oracle-rendszerek kitettségét. A Virtuális CISO szolgáltatás (vCISO) segít azonosítani az internet felől elérhető Oracle-szolgáltatásokat, a nyitott T3/IIOP- vagy LDAP-portokat, valamint azokat a middleware-elemeket, amelyeknek nem kell elérhetőnek lenniük. Azoknál a termékeknél, amelyeket már bevezettek, a Bevezetési és felmérési szolgáltatások penetrációs tesztelést és a megerősítés ellenőrzését nyújtja, így igazolható, hogy a javítás valóban lezárja a támadási utat, nem csupán telepítették.