Auteur: Systeem Beheerder

Oracle heeft 33 kwetsbaarheden verholpen in diverse Oracle Analytics-producten, waaronder Oracle Business Intelligence Enterprise Edition en Oracle BI Publisher. In de patchnote staan 33 kwetsbaarheden, waarvan 14 kwetsbaarheden op afstand kunnen worden misbruikt zonder dat authenticatie vereist is. Afhankelijk van de kwetsbaarheid, de getroffen productversie en de configuratie kan misbruik leiden tot ongeautoriseerde toegang tot gevoelige gegevens, het aanmaken, wijzigen of verwijderen van gegevens, verstoring van de dienstverlening of compromittering van de getroffen component. De hoogst gerapporteerde CVSS 3.1-basisscore voor Oracle Analytics bedraagt 9,1 op een schaal van 10.

Oracle heeft 110 kwetsbaarheden verholpen in diverse Oracle Communications-producten, waaronder Oracle Communications Unified Assurance, Oracle Communications Cloud Native Core Security Edge Protection Proxy, Oracle Communications Service Catalog and Design en Oracle Communications Operations Monitor. De kwetsbaarheden betreffen verschillende beveiligingsproblemen in Oracle Communications-producten, waaronder mogelijkheden voor niet-geauthenticeerde en laaggeprivilegieerde kwaadwillenden om via netwerktoegang ongeautoriseerde acties uit te voeren. De kwetsbaarheden hebben CVSS-scores variërend van laag tot kritiek, met een maximale score van 9,8. De update bevat in totaal 110 kwetsbaarheden voor Oracle Communications, waarvan 77 kwetsbaarheden op afstand zonder authenticatie kunnen worden misbruikt. Succesvol misbruik kan, afhankelijk van de specifieke kwetsbaarheid, leiden tot ongeautoriseerde toegang tot gevoelige informatie, het wijzigen van gegevens of het verstoren van de beschikbaarheid van getroffen systemen. Sommige kwetsbaarheden vereisen voorafgaande toegangsrechten of gebruikersinteractie, terwijl andere via netwerktoegang zonder authenticatie kunnen worden misbruikt.

PHP heeft twee kritieke kwetsbaarheden verholpen. De kwetsbaarheden kunnen zonder authenticatie op afstand worden misbruikt voor het uitvoeren van willekeurige code. Alle PHP-installaties die webverzoeken verwerken zijn getroffen. De kwetsbaarheid met kenmerk CVE-2026-109618 betreft geheugenbeschadiging bij de afhandeling van een Out-of-Memory-situatie. Hierdoor kunnen interne requestgegevens slechts gedeeltelijk worden geïnitialiseerd en tijdens de verwerking als geldige gegevens worden behandeld, wat kan leiden tot Remote Code Execution.

De kwetsbaarheid met kenmerk CVE-2026-109619 betreft het achterblijven van interne globale status nadat het bijbehorende geheugen is vrijgegeven. Een volgend verzoek dat door dezelfde worker wordt verwerkt, kan deze verouderde status gebruiken voordat deze opnieuw wordt geïnitialiseerd, wat eveneens kan leiden tot Remote Code Execution.

Beide kwetsbaarheden kunnen zonder authenticatie via webverzoeken worden misbruikt en kunnen leiden tot het uitvoeren van willekeurige code op de getroffen server. Het PHP-team adviseert alle gebruikers dringend om onmiddellijk te updaten. Het NCSC adviseert daarom de beveiligingsupdates met spoed toe te passen.

Oracle heeft 194 kwetsbaarheden verholpen in Oracle E-Business Suite en gerelateerde componenten, specifiek voor versies 12.2.3 tot en met 12.2.15. Afhankelijk van de specifieke kwetsbaarheid kunnen deze door een aanvaller met netwerktoegang worden misbruikt om ongeautoriseerde toegang tot gegevens te verkrijgen of om gegevens aan te maken, in te zien, te wijzigen of te verwijderen. In ernstige gevallen kan misbruik leiden tot Remote Code Execution (RCE), waardoor een aanvaller willekeurige code kan uitvoeren op het getroffen systeem.

Een deel van de kwetsbaarheden kan op afstand worden misbruikt zonder authenticatie. Voor andere kwetsbaarheden zijn geldige inloggegevens, specifieke toegangsrechten of gebruikersinteractie vereist. De impact en de voorwaarden voor misbruik verschillen per kwetsbaarheid en getroffen component. De CVSS 3.1-scores lopen op tot de maximale score van 10,0.

Oracle heeft kwetsbaarheden verholpen in diverse producten, waaronder Oracle MySQL Server, MySQL Cluster, MySQL Enterprise Backup, MySQL Connectors (waaronder Connector/ODBC) en MySQL Router. De kwetsbaarheden in Oracle MySQL betreffen diverse componenten, waaronder MySQL Server, MySQL Cluster, MySQL Enterprise Backup, MySQL Connectors en MySQL Router. De potentiële impact omvat ongeautoriseerde toegang tot of wijziging van gegevens en verstoring van de beschikbaarheid van systemen (denial-of-service). De Oracle Critical Patch Update van oktober 2026 bevat 98 nieuwe beveiligingspatches, waarvan 29 kwetsbaarheden op afstand kunnen worden misbruikt zonder authenticatie. De hoogste CVSS-score bedraagt 9,8. De ernst en impact verschillen per kwetsbaarheid en zijn afhankelijk van de getroffen component en configuratie.

Drupal heeft kwetsbaarheden verholpen in de Drupal core Field UI module, Entity List module, Navigation module, Link module en het Gin administratie thema. De kwetsbaarheden betreffen meerdere modules binnen Drupal. In de Field UI module en de Entity List module is een remote code execution kwetsbaarheid aanwezig die kan worden misbruikt via contributed modules of custom code, waarbij sommige aanvalspaden geen authenticatie vereisen. De Navigation module, Link module en het Gin administratie thema bevatten cross-site scripting (XSS) kwetsbaarheden veroorzaakt door onvoldoende sanitatie van bepaalde HTML- of URL-attributen. De XSS-kwetsbaarheden kunnen alleen worden misbruikt door gebruikers met specifieke permissies, zoals het invoeren van HTML met bepaalde data-attributen of de ‘administer menu’ permissie. De kwetsbaarheden zijn specifiek voor Drupal installaties die deze modules of thema’s gebruiken en kunnen leiden tot ongeautoriseerde code-uitvoering of scriptinjectie.

De kwetsbaarheden zijn niet zondermeer te misbruiken, maar vereisen een plugin of externe module waarmee de kwetsbaarheid kan worden misbruikt. Het is daarom aan te raden om geen gebruik te maken van onbekende, en onvertrouwde, plugins en externe modules.

BeyondTrust heeft een kritieke kwetsbaarheid verholpen in BeyondTrust Remote Support. De kwetsbaarheid met kenmerk CVE-2026-102764 heeft een CVSS-score van 9.3 en betreft onvoldoende validatie van de herkomst van berichten binnen de interne componenten van het product. Hierdoor kan een niet-geauthenticeerde kwaadwillende de kwetsbaarheid op afstand misbruiken om bestanden op een getroffen appliance te plaatsen of te wijzigen. Alle Remote Support-versies tot en met 26.2.3 zijn getroffen.
BeyondTrust bevestigt dat CVE-2026-102764 als zeroday-kwetsbaarheid is misbruikt.

Adobe heeft meerdere kwetsbaarheden verholpen in Adobe Commerce. De kwetsbaarheden betreffen onder andere stored Cross-Site Scripting (XSS) waarbij aanvallers kwaadaardige JavaScript-code kunnen injecteren in formuliervelden binnen de applicatie. Deze code wordt uitgevoerd in de context van de browser van het slachtoffer en kan ongeautoriseerde acties uitvoeren, zoals het kapen van sessies of het escaleren van privileges.

Daarnaast zijn er kwetsbaarheden in de template engine van Adobe Commerce die leiden tot improper neutralization van speciale elementen, waardoor een aanvaller zonder gebruikersinteractie willekeurige code kan uitvoeren.

Verder zijn er problemen met incorrecte autorisatie die het mogelijk maken voor aanvallers met minimale privileges om beveiligingsmaatregelen te omzeilen, ongeautoriseerde lees- en schrijfbewerkingen uit te voeren, en in sommige gevallen ook remote code execution te realiseren.

Ook zijn er kwetsbaarheden in de inputvalidatie die het mogelijk maken voor aanvallers met verschillende privilege-niveaus om beveiligingscontroles te omzeilen en ongeautoriseerde acties uit te voeren.

Adobe heeft meerdere kwetsbaarheden verholpen in Adobe ColdFusion. De kwetsbaarheden in Adobe ColdFusion omvatten onder andere Server-Side Request Forgery (SSRF), Incorrect Authorization, Improper Input Validation, code-injectie, XML External Entity (XXE), Uncontrolled Resource Consumption en path traversal.

Aanvallers kunnen deze kwetsbaarheden misbruiken om zonder enige gebruikersinteractie privileges te escaleren, arbitrary code uit te voeren, bestanden te uploaden zonder restricties, interne resources te benaderen, gevoelige geheugeninformatie te onthullen, en denial-of-service te veroorzaken.

Sommige kwetsbaarheden zijn afhankelijk van externe factoren die de kans op succesvolle exploitatie beïnvloeden. De SSRF-kwetsbaarheden maken het mogelijk om netwerksegmentatie te omzeilen en toegang te krijgen tot interne systemen. De path traversal kwetsbaarheid in de Remote Development Services (RDS) functionaliteit stelt een aanvaller in staat om willekeurige bestanden te lezen zonder gebruikersinteractie, waarbij RDS standaard uitgeschakeld is in de Production Secure Profile. De kwetsbaarheden beïnvloeden de vertrouwelijkheid, integriteit en beschikbaarheid van ColdFusion-omgevingen.

Fortinet heeft kwetsbaarheden verholpen in FortiSIEM versie 7.5.0. De eerste kwetsbaarheid betreft een path traversal probleem waarbij het systeem onvoldoende beperkingen oplegt aan padnamen naar beperkte directories. Hierdoor kan een niet-geauthenticeerde aanvaller speciaal opgemaakte pakketten versturen om ongeautoriseerde code of commando’s uit te voeren. De tweede kwetsbaarheid betreft een ontbrekende autorisatiecontrole binnen de GUI-component, waardoor een geauthenticeerde aanvaller via speciaal opgemaakte HTTP-verzoeken autorisatiecontroles kan omzeilen en eveneens ongeautoriseerde code of commando’s kan uitvoeren. Beide kwetsbaarheden kunnen leiden tot ongeautoriseerde uitvoering van commando’s en daarmee tot compromittering van de systeemintegriteit en -beveiliging.