Oracle heeft 50 kwetsbaarheden verholpen in zijn Analytics-producten, waaronder Oracle Business Intelligence Enterprise Edition en Oracle BI Publisher. Vier daarvan zijn kritiek en acht zijn zonder authenticatie op afstand te misbruiken, meldt het NCSC in advisory NCSC-2026-0379.
De patches horen bij Oracle’s kwartaal-Critical Patch Update van september 2026, waarin het bedrijf in één keer tientallen productlijnen bijwerkt, van Database en Fusion Middleware tot E-Business Suite en Java SE. Voor iedere productlijn publiceert het NCSC een eigen advisory; dit artikel gaat alleen over de kwetsbaarheden in Analytics.
De vier kritieke fouten zijn CVE-2026-83269 en CVE-2026-83283, allebei met een CVSS-score van 9,8 en zonder inloggegevens over het netwerk te misbruiken. CVE-2026-83282 scoort met 9,9 zelfs nog hoger, maar vereist wel een laag geprivilegieerd account. CVE-2026-83268, met CVSS 9,1, is alleen uitvoerbaar met een hoog geprivilegieerd account. Succesvol misbruik kan leiden tot toegang tot gevoelige gegevens, het wijzigen of verwijderen van data, volledige overname van het getroffen onderdeel en verstoring van de beschikbaarheid.
Voor Nederlandse organisaties die Oracle BI Enterprise Edition of BI Publisher draaien is dit een advisory om serieus te nemen. Analytics-omgevingen zijn vaak gekoppeld aan gevoelige bedrijfsrapportages en staan bij sommige organisaties ook op een DMZ of extern toegankelijk, juist het scenario waarin een ongeauthenticeerde kwetsbaarheid met CVSS 9,8 de meeste schade aanricht. Het NCSC adviseert de updates voor de kritieke kwetsbaarheden met voorrang te installeren. Beheerders vinden de exacte patchversies en de volledige risk matrix in Oracle’s Critical Patch Update van september 2026.
Bron: NCSC-NL Advisories
Blijf op de hoogte
Meld je aan voor de nieuwsbrief: spoedalerts bij kritieke dreigingen en een wekelijks overzicht. Geen mail achterlaten? Volg ons dan via RSS.