Oracle heeft meerdere kwetsbaarheden gedicht in Oracle Enterprise Manager Base Platform voor versies 13.5 en 24.1. Via HTTP(S) konden aanvallers in sommige scenario’s zonder inlog of met minimale rechten gevoelige data lezen, aanpassen, aanmaken of verwijderen. Ook waren er zwaktes die tot verstoring (gedeeltelijke denial‑of‑service) konden leiden. De issues zaten verspreid over componenten als Agent Next Gen, Metadata Plugin en UI Framework. Afhankelijk van de kwetsbaarheid is netwerktoegang vereist en in enkele gevallen ook gebruikersinteractie. De kern: onvoldoende toegangscontrole en onjuiste beveiligingscontroles binnen het platform. (advisories.ncsc.nl)

Wat speelt er precies

• In recente beveiligingsrondes heeft Oracle meerdere CVE’s voor Enterprise Manager Base Platform opgelost, waaronder bevindingen in Agent Next Gen en UI Framework. Een deel daarvan is op afstand misbruikbaar, soms zelfs zonder authenticatie, met impact variërend van datadiefstal tot integriteits- en beschikbaarheidsverlies. In de julironde van 2026 zitten bijvoorbeeld items met een CVSS-score tot 9.8 voor 13.5 en 24.1. (oracle.com)
• De Nederlandse NCSC bevestigt dat de kwetsbaarheden door netwerktoegang over HTTP(S) te misbruiken waren en ongeautoriseerde lees-, schrijf-, aanmaak-, verwijder- en wijzigacties mogelijk maakten. Sommige issues konden ook leiden tot gedeeltelijke uitval. (advisories.ncsc.nl)

Waarom dit belangrijk is
Enterprise Manager is het centrale beheerschild voor databases, middleware en omgevingen. Het platform werkt met plug-ins en agents: plug-ins sturen de Management Agent aan voor metrieken en acties; de Oracle Management Service (OMS) verwerkt alles aan de serverkant. Een lek in zo’n basislaag heeft dus snel impact op veel aangesloten systemen. (docs.oracle.com)

Wat je nu wilt doen

• Patch op korte termijn. Installeer de meest recente Critical Patch Update (CPU) en, waar van toepassing, de nieuwe maandelijkse Critical Security Patch Updates (CSPU). Oracle levert CPU’s ieder kwartaal (januari, april, juli, oktober) en brengt sinds 28 mei 2026 maandelijks CSPU’s uit voor urgente fixes. (oracle.com)
• Werk je Enterprise Manager-release bij. Voor 24.1 zijn doorlopend Release Updates (RU’s) beschikbaar; houd minimaal gelijke tred met de laatste 24.1.x‑update om beveiligingsfixes en stabiliteitsverbeteringen mee te pakken. (community.oracle.com)
• Harden je beheerlaag. Beperk netwerktoegang tot OMS en agents, dwing TLS af, segmenteer volgens het least‑privilege‑principe en monitor de EM‑ en agentlogs op afwijkingen. Oracle’s Security Guide voor 24.1 biedt praktische richtlijnen. (docs.cloud.oracle.com)
• Check je exposure. Breng in kaart welke OMShomes en agents op 13.5 of 24.1 draaien, welke plug-ins actief zijn en of kwetsbare onderdelen (zoals Agent Next Gen of UI‑componenten) vanuit minder vertrouwde netwerken bereikbaar zijn. Baseer prioriteit op CVSS en of een issue pre‑auth op afstand misbruikbaar is. (oracle.com)

Extra context

• In de april‑ en julirondes van 2026 zijn meerdere Enterprise Manager‑bugs met hoge impact verholpen, waaronder bevindingen in Agent Next Gen (o.a. afhankelijkheden als Perl/Jetty/Log4j) en UI‑/Security‑frameworks. Deze variëren in vereiste gebruikersinteractie en privileges, maar de zwaarste zijn op afstand, zonder inlog, te triggeren. (oracle.com)
• Eerdere CVE’s voor Enterprise Manager laten hetzelfde patroon zien: brede data‑toegang en de mogelijkheid om operaties op het platform te verstoren. Dat onderstreept het belang van een strak patch‑ en segmentatiebeleid rond de beheerlaag. (nvd.nist.gov)

Kort samengevat
De fixes voor 13.5 en 24.1 pakken ernstige gaten aan in de basis van Oracle Enterprise Manager. Door de centrale rol van het platform is snel patchen cruciaal. Volg de kwartaal‑CPU’s, houd de nieuwe maandelijkse CSPU’s in de gaten en breng je 24.1‑omgeving up‑to‑date met de laatste RU — en sluit je beheerlaag zo af dat alleen wie het echt nodig heeft erbij kan. (oracle.com)

---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ----
Opzoek naar de laatste updates uit onze securitylog?
Inhoud mede mogelijk gemaakt door OpenAI.