Oracle heeft met zijn kwartaalupdate van 20 oktober een stortvloed aan kwetsbaarheden verholpen in negen productlijnen die ook bij Nederlandse organisaties en overheidsinstellingen veel in gebruik zijn: E-Business Suite, MySQL, Enterprise Manager, PeopleSoft Enterprise, Oracle Analytics, Oracle Communications, Oracle Fusion Middleware, Oracle JD Edwards EnterpriseOne en Oracle Java. Dat blijkt uit negen aparte adviezen die het Nationaal Cyber Security Centrum op 21 en 22 oktober publiceerde.
Oracle brengt zo’n Critical Patch Update, kortweg CPU, elk kwartaal uit op een vaste dinsdag. In plaats van losse patches per kwetsbaarheid bundelt het bedrijf de fixes voor vrijwel het hele productportfolio in één release, zodat beheerders de update op een vast moment kunnen inplannen in plaats van continu losse meldingen te moeten bijhouden.
Het zwaarst getroffen is Oracle E-Business Suite: de update verhelpt daar 194 kwetsbaarheden in de versies 12.2.3 tot en met 12.2.15, waarvan er 31 zonder inloggegevens op afstand te misbruiken zijn. De ernstigste is CVE-2026-101809, met de maximale CVSS-score van 10,0, een fout in de Workflow Notification Mailer die via HTTP te bereiken is. Ook CVE-2026-101767 (9,8) en de nauw verwante CVE-2026-101634 en CVE-2026-101808 (beide 9,1) scoren uitzonderlijk hoog.
Bij Oracle MySQL, waar Server, Cluster, Enterprise Backup, de Connectors (waaronder Connector/ODBC) en Router patches krijgen, verhelpt de update 98 kwetsbaarheden. Daarvan zijn er 29 op afstand en zonder authenticatie te misbruiken. De zwaarste twee, CVE-2025-15467 en CVE-2026-9547, scoren beide 9,8.
Oracle Enterprise Manager krijgt patches voor de Base Platform en de varianten voor Oracle Database, Siebel en Virtualization, in de versies 13.5 en 24.1. Van de acht gepubliceerde CVE’s springen CVE-2026-101528 en CVE-2026-101529 eruit met een score van 9,9. Twee van de kwetsbaarheden zijn zonder authenticatie op afstand te misbruiken en kunnen tot het uitvoeren van willekeurige code leiden.
PeopleSoft Enterprise krijgt in dezelfde ronde patches voor 109 kwetsbaarheden in PeopleTools en diverse PeopleSoft-modules. De hoogste score is 9,8, voor CVE-2026-33466, gevolgd door CVE-2026-101420 (9,6) en CVE-2026-55200 (9,2 op de nieuwere CVSS v4-schaal).
Oracle Analytics krijgt in dezelfde update patches voor 33 kwetsbaarheden, onder meer in Oracle Business Intelligence Enterprise Edition en Oracle BI Publisher. Daarvan zijn er 14 zonder authenticatie op afstand te misbruiken. De ernstigste is CVE-2026-75803, met een CVSS-score van 9,8, gevolgd door CVE-2026-91241 (9,1) en drie kwetsbaarheden met een score van 8,8.
Oracle Communications is deze ronde met 110 kwetsbaarheden de productlijn met de meeste fixes, verspreid over onder meer Unified Assurance, Cloud Native Core Security Edge Protection Proxy, Service Catalog and Design en Operations Monitor. Liefst 77 daarvan zijn zonder authenticatie op afstand te misbruiken, een van de hoogste aandelen van alle productlijnen in deze ronde. Zes CVE’s scoren het maximale 9,8, waaronder CVE-2026-5450 en CVE-2026-29167; op de nieuwere CVSS v4-schaal halen CVE-2025-48734 en CVE-2026-8763 9,3.
Oracle Fusion Middleware krijgt in deze update de meeste aandacht: liefst 194 kwetsbaarheden, verspreid over producten als SOA Suite, WebLogic Server, Data Integrator, Identity Manager, Access Manager, WebCenter Content, Helidon en Oracle HTTP Server, plus onderdelen als Coherence, JDeveloper, Managed File Transfer en Service Bus. Vier kwetsbaarheden scoren de maximale CVSS v3-score van 10,0: CVE-2026-87337, CVE-2026-91216, CVE-2026-91221 en CVE-2026-91231. Oracle en het NCSC melden dat de meeste van deze fouten via het netwerk en vaak zonder authenticatie te misbruiken zijn, al is bij een deel gebruikersinteractie vereist. Er is nog geen proof-of-concept-code bekend, maar het NCSC houdt rekening met een toename van scan- en misbruikverkeer nu de patches gepubliceerd zijn.
Oracle JD Edwards EnterpriseOne Tools, in gebruik bij onder meer productiebedrijven en groothandels, krijgt patches voor 24 kwetsbaarheden in de versies 9.2.0.0 tot en met 9.2.26.5. De zwaarste twee, CVE-2022-45378 en CVE-2025-15467, scoren beide 9,8. Opvallend is dat de oudere CVE-2022-45378 nu meeloopt in deze kwartaalronde. Aanvallers kunnen de kwetsbaarheden via protocollen als HTTP, HTTPS en SMTP misbruiken, in een deel van de gevallen zonder authenticatie of met slechts lage rechten, al is bij sommige fouten gebruikersinteractie nodig.
Ook Oracle Java krijgt een flinke beurt: 55 kwetsbaarheden in Oracle Java SE, JavaFX en GraalVM Enterprise Edition, inclusief Oracle GraalVM for JDK. De ernstigste, CVE-2026-46470, scoort 9,1 op de CVSS v3-schaal. Volgens Oracle zijn de fouten te misbruiken door ongeauthenticeerde aanvallers via het netwerk, waarbij een deel ook gebruikersinteractie vereist. De risico’s variëren van denial-of-service tot ongeautoriseerde lees- en schrijftoegang tot gegevens, met componenten als de compiler, networking, JAXP, JDBC, RMI, ImageIO en CORBA als belangrijkste aandachtspunten.
Voor geen van de negen productlijnen melden Oracle of het NCSC op dit moment actief misbruik in het wild. Dat kan snel veranderen zodra aanvallers de patches analyseren: bij eerdere Oracle-CPU’s volgde werkende exploitcode in het verleden vaak al binnen enkele weken na publicatie.
Organisaties die een van deze Oracle-producten draaien, doen er goed aan de update niet op de stapel te laten liggen. Volg het reguliere CPU-schema, maar prioriteer systemen die rechtstreeks vanaf het netwerk bereikbaar zijn en kwetsbaarheden zonder authenticatie-eis, zoals de fout in de Workflow Notification Mailer van E-Business Suite. Laat IT-dienstverleners die Oracle-omgevingen beheren expliciet bevestigen of en wanneer deze kwartaalupdate wordt doorgevoerd.
Update 28 oktober: Threat-intelligencebedrijf Defused meldt dat de eerste verkennende aanvalspogingen tegen CVE-2026-101767 in E-Business Suite al zijn waargenomen, via eigen decoy-systemen. Het lek, een ongeauthenticeerde SQL-injectie in de Thin Client Framework-servlet die doorschakelt naar code-uitvoering, is nog niet door Oracle zelf als actief misbruikt bestempeld. Internetwaakhond Shadowserver telt wereldwijd ruim 670 vanaf internet bereikbare Oracle EBS-installaties, de meeste met een Amerikaans IP-adres. Oracle benadrukt dat eerdere aanvallen vooral slaagden bij klanten die beschikbare patches nog niet hadden toegepast: reden te meer om de oktoberupdate niet uit te stellen.
Bron: NCSC-NL Advisories, BleepingComputer en The Hacker News
Wat betekent dit voor jouw bedrijf?
Draait uw organisatie een van deze negen Oracle-productlijnen? Begin met de kwetsbaarheden die zonder inloggegevens op afstand zijn te misbruiken, zoals de maximale CVE-2026-101809 in de Workflow Notification Mailer van E-Business Suite, de vier CVE's met score 10,0 in Fusion Middleware en de zes CVE's met score 9,8 in Oracle Communications, en volg daarna het reguliere CPU-schema voor de rest.
Zelfde kwetsbaarheid
Blijf op de hoogte
Meld je aan voor de nieuwsbrief: spoedalerts bij kritieke dreigingen en een wekelijks overzicht. Geen mail achterlaten? Volg ons dan via RSS.