Oracle dicht 159 kwetsbaarheden in Oracle E‑Business Suite. Het gaat om een breed pakket aan modules en componenten, waaronder onder meer Applications Framework, Document Management and Collaboration, Mobile Application Server, Alert, Application Object Library, Applications Manager, Bills of Material, Complex Maintenance, Contract Lifecycle Management (Public Sector), Contracts, Customer Interaction History, Demand Signal Repository, Depot Repair, Marketing, Product Hub, Purchasing, Report Manager, Sales Online, Spares Management, User Management, iStore, HRMS (India), iRecruitment, Product Workbench, Financials for Asia/Pacific, Engineering, CRM Technical Foundation, Financials Common Modules, Installed Base, One‑to‑One Fulfillment, Order Management, Project Intelligence, Work in Process, Advanced Benefits, Applications DBA, Enterprise Command Center Framework, Field Service, Proposals, Sales (ook Offline), Web Applications Desktop Integrator, Quality, Sourcing, Common Applications (incl. Calendar), Lease and Finance Management, Partner Management, Site Hub, US Federal Human Resources, XML Gateway, HR Intelligence, Assets en Process Manufacturing Intelligence.

Wat is er aan de hand

• In totaal zijn 159 kwetsbaarheden verholpen met CVSS‑scores van gemiddeld tot kritiek. Drie daarvan zijn als kritiek aangemerkt en hebben een CVSS‑score van 9,8: CVE‑2026‑83327 (Oracle Applications Framework), CVE‑2026‑83452 (Oracle Document Management and Collaboration) en CVE‑2026‑83462 (Oracle Mobile Application Server).
• Volgens Oracle kunnen 19 kwetsbaarheden op afstand en zonder authenticatie worden misbruikt. De aanvalscomplexiteit is laag en in meerdere gevallen is geen gebruikersinteractie nodig.
• Mogelijke impact: ongeautoriseerde toegang tot gevoelige data, wijziging of verwijdering van gegevens, volledige overname van getroffen componenten en verstoring van de beschikbaarheid.

Waarom dit ertoe doet
Oracle E‑Business Suite (EBS) is het hart van financiële, HR‑ en supply‑chainprocessen bij veel organisaties. Pre‑auth kwetsbaarheden met netwerkmisbruik zijn zeer aantrekkelijk voor aanvallers. De afgelopen jaren heeft Oracle vaker noodpatches en extra beveiligingsupdates uitgebracht naast de reguliere kwartaalreleases, juist om dit soort risico’s sneller te adresseren. Oracle benadrukt daarbij al langere tijd dat klanten op ondersteunde versies moeten blijven en beveiligingsupdates zonder uitstel moeten toepassen. (oracle.com)

Advies en volgende stappen

• Patch met prioriteit: Het NCSC adviseert om de updates voor de kritieke kwetsbaarheden met voorrang door te voeren. Plan zo nodig een versnelde onderhoudswindow en voer de patches eerst uit in acceptatie, vervolgens in productie. (ncsc.nl)
• Controleer je release en modules: Breng in kaart welke EBS‑versie (12.2.x) en modules je draait en welke updates daarvoor beschikbaar zijn. Raadpleeg de actuele Critical Patch Update‑ en Critical Security Patch Update‑overzichten van Oracle voor de juiste patchniveaus en risico‑matrices. (oracle.com)
• Minimaliseer blootstelling: Publiceer EBS niet rechtstreeks op internet. Plaats EBS achter een reverse proxy/WAF, beperk IP‑toegang, dwing MFA af voor externe toegang en segmenteer netwerkzones. Deze basismaatregelen verkleinen de kans op misbruik van pre‑auth kwetsbaarheden aanzienlijk. (oracle.com)
• Monitor en detecteer: Activeer extra logging op EBS‑webcomponenten en integraties, alarmeer op verdachte aanmeldpogingen en ongebruikelijke API‑aanroepen en controleer regelmatig op bekende IoC’s uit recente Oracle‑ en NCSC‑adviezen. (advisories.ncsc.nl)
• Test bedrijfsprocessen: Controleer na patching of kritieke processen (order‑to‑cash, procure‑to‑pay, payroll) en integraties met ERP/HR/CRM‑systemen nog correct werken. Volg waar nodig de nainstallatiestappen uit de Oracle‑documentatie. (docs.oracle.com)

Context: updatecadans van Oracle

• Oracle brengt elk kwartaal Critical Patch Updates (CPU) uit. Sinds 2026 publiceert het bedrijf daarnaast Critical Security Patch Updates (CSPU) om sneller in te kunnen grijpen bij hoogrisico’s. Voor EBS verschijnen daarbij per release aanvullende aanwijzingen en referenties via My Oracle Support. (oracle.com)
• In recente CPU/CSPU‑rondes werden ook meerdere EBS‑componenten geraakt. Het blijft daarom belangrijk om bij elke nieuwe Oracle‑ronde te valideren of jouw EBS‑landschap patches vereist en om die tijdig te testen en uit te rollen. (oracle.com)

Risico in perspectief
Incidenten uit de afgelopen jaren laten zien dat EBS‑kwetsbaarheden daadwerkelijk worden aangevallen wanneer systemen on‑gepatcht en publiek bereikbaar zijn. Publieke waarschuwingen onderstrepen het belang van snelle patching en het beperken van internetblootstelling. (techradar.com)

Samengevat

• 159 opgeloste kwetsbaarheden in uiteenlopende EBS‑modules, waaronder drie kritieke (CVSS 9,8) die op afstand en zonder authenticatie te misbruiken zijn.
• Snel patchen is essentieel: prioriteer de kritieke fixes, beperk internettoegang tot EBS, versterk monitoring en verifieer je bedrijfsprocessen na de update.
• Volg de actuele Oracle‑ en NCSC‑adviezen om bij nieuwe CPU/CSPU‑rondes direct te kunnen handelen. (oracle.com)

Actie vandaag

• Start een spoed‑impactanalyse.
• Plan en voer de updates uit volgens change‑beleid.
• Beperk waar nodig tijdelijk de externe toegang tot EBS tot de patchronde is afgerond.

---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ----
Opzoek naar de laatste updates uit onze securitylog?
Inhoud mede mogelijk gemaakt door OpenAI.