Oracle heeft 50 beveiligingslekken gedicht in Oracle Analytics-producten, waaronder Oracle Business Intelligence Enterprise Edition (OBIEE) en Oracle BI Publisher. Acht daarvan zijn op afstand te misbruiken zonder inloggegevens. De impact loopt uiteen van ongeautoriseerde toegang tot gevoelige data tot het wijzigen of wissen van gegevens en, in sommige scenario’s, volledige compromittering van getroffen componenten. Oracle publiceerde deze fixes op 15 september 2026 als onderdeel van de September 2026 Critical Security Patch Update. (oracle.com)

Vier kwetsbaarheden zijn aangemerkt als kritisch. Drie daarvan scoren 9,8 of hoger volgens CVSS. Het zwaartepunt ligt bij:

• CVE-2026-83282 (CVSS 9,9) in Platform Security van OBIEE: vereist een account met lage privileges.
• CVE-2026-83269 (CVSS 9,8) in BI Platform Security van BI Publisher en CVE-2026-83283 (CVSS 9,8) in Platform Security van OBIEE: beide zijn op afstand en zonder authenticatie via HTTP te misbruiken.
• CVE-2026-83268 (CVSS 9,1) in BI Publisher: misbruik vereist een account met hoge privileges.
  Volgens de risicomatrix kunnen meerdere van deze lekken leiden tot hoge impact op vertrouwelijkheid, integriteit en beschikbaarheid. (oracle.com)

Context: deze patchronde omvat in totaal 673 beveiligingsupdates voor uiteenlopende Oracle-productfamilies; Oracle Analytics neemt daarvan 50 patches voor zijn rekening. Dat laat zien dat Analytics een belangrijk aandachtsgebied is binnen deze release. (oracle.com)

Wie is geraakt? De fixes richten zich onder meer op OBIEE en BI Publisher in versies 8.2.0.0.0, 12.2.1.4.0 en 26.1.0.0.0. Een deel van de kwetsbaarheden is te triggeren via HTTP of SOAP, wat betekent dat systemen die via het netwerk of internet bereikbaar zijn extra risico lopen. (oracle.com)

Aanbevelingen voor organisaties

• Patch met prioriteit: installeer de updates voor de kritieke CVE’s zo snel mogelijk, bij voorkeur eerst in test/acceptatie en daarna gecontroleerd in productie. Dit sluit aan bij het standaardadvies van het NCSC om kritieke Oracle-updates met spoed te installeren. (ncsc.nl)
• Inventariseer je landschap: breng in kaart of je nog draait op 12.2.1.4.0, 8.2.0.0.0 of 26.1.0.0.0 en controleer of de bijbehorende patches beschikbaar en toepasbaar zijn. (oracle.com)
• Beperk blootstelling: laat OBIEE/BI Publisher-managementinterfaces en -endpoints niet onnodig openstaan naar het internet; zet waar mogelijk netwerksegmentatie, IP-allowlists en MFA in. De risicomatrix laat zien dat meerdere issues via HTTP/SOAP te misbruiken zijn. (oracle.com)
• Monitor en reageer: houd logging in de gaten op verdachte verzoeken naar BI Publisher- en OBIEE-endpoints en stel alerts in voor afwijkend gedrag. (oracle.com)

Samengevat: Oracle dicht een groot aantal gaten in Analytics, met vier kritieke CVE’s en acht pre-auth lekken die op afstand te misbruiken zijn. Organisaties die OBIEE of BI Publisher gebruiken doen er verstandig aan direct te patchen en tegelijkertijd de netwerkblootstelling te minimaliseren. (oracle.com)

---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ----
Opzoek naar de laatste updates uit onze securitylog?
Inhoud mede mogelijk gemaakt door OpenAI.