Auteur: Systeem Beheerder

Oracle heeft 19 kwetsbaarheden verholpen in Oracle VM VirtualBox. De kwetsbaarheden betreffen verschillende beveiligingsproblemen in Oracle VM VirtualBox, waaronder mogelijkheden voor lokale en geauthenticeerde kwaadwillenden om ongeautoriseerde acties uit te voeren. De kwetsbaarheden hebben CVSS-scores variërend van laag tot hoog. Van de in totaal 19 kwetsbaarheden kan volgens Oracle één kwetsbaarheid zonder authenticatie op afstand worden misbruikt. Succesvol misbruik kan onder meer leiden tot het verkrijgen van ongeautoriseerde toegang tot gevoelige informatie, het wijzigen van gegevens en het verstoren van de beschikbaarheid van getroffen systemen. Voor het merendeel van de kwetsbaarheden is lokale toegang, gebruikersinteractie of voorafgaande toegangsrechten vereist.

Geen van de kwetsbaarheden is als kritiek aangemerkt. CVE-2026-87273 heeft met een CVSS-score van 8,6 de hoogste score en kan lokaal worden misbruikt waarbij gebruikersinteractie vereist is. Succesvolle exploitatie kan een hoge impact hebben op de vertrouwelijkheid, integriteit en beschikbaarheid van het getroffen systeem. CVE-2026-87277 heeft een CVSS-score van 7,5 en kan zonder authenticatie op afstand via RDP worden misbruikt. Succesvolle exploitatie kan leiden tot verstoring van de beschikbaarheid van het getroffen systeem.

Cisco heeft 21 kwetsbaarheden verholpen in Cisco Identity Services Engine (ISE) en Cisco ISE Passive Identity Connector (ISE-PIC). De kwetsbaarheden betreffen verschillende beveiligingsproblemen in Cisco ISE en ISE-PIC, waaronder mogelijkheden voor niet-geauthenticeerde en laaggeprivilegieerde kwaadwillenden om via netwerktoegang ongeautoriseerde acties uit te voeren. De kwetsbaarheden hebben CVSS-scores variërend van middel tot kritiek. Van de in totaal 21 kwetsbaarheden zijn 13 als kritiek aangemerkt. Op basis van de door Cisco gepubliceerde CVSS-scores kunnen vier kwetsbaarheden zonder authenticatie op afstand worden misbruikt. Succesvol misbruik kan onder meer leiden tot het omzeilen van authenticatie- en autorisatiecontroles, het verkrijgen en wijzigen van gevoelige configuratie- en identiteitsgegevens, het uitvoeren van willekeurige code of commando’s met rootrechten, SQL-injectie, het uitlezen van bestanden en het verstoren van de beschikbaarheid van getroffen systemen. Sommige kwetsbaarheden vereisen voorafgaande administratieve toegangsrechten of een specifieke configuratie, terwijl andere volledig op afstand en zonder authenticatie kunnen worden misbruikt.

Van de 13 kwetsbaarheden die als kritiek zijn aangemerkt, hebben meerdere een CVSS-score van 9,8 of hoger. Vier kwetsbaarheden, CVE-2026-20130, CVE-2026-20192, CVE-2026-76423 en CVE-2026-76460, hebben een CVSS-score van 10,0.

De kwetsbaarheid met kenmerk CVE-2026-76423 betreft een kwetsbaarheid in de REST API waarmee een niet-geauthenticeerde kwaadwillende administratieve toegang kan verkrijgen tot Cisco ISE en ISE-PIC.

De kwetsbaarheid met kenmerk CVE-2026-76460 betreft een authenticatieomzeiling in een API van Cisco ISE en ISE-PIC waarmee een niet-geauthenticeerde kwaadwillende toegang tot het getroffen systeem kan verkrijgen. Cisco meldt dat deze kwetsbaarheid actief wordt misbruikt. Na succesvolle exploitatie kunnen kwaadwillenden volgens Cisco commando’s met rootrechten uitvoeren.

De kwetsbaarheden met kenmerk CVE-2026-20130 en CVE-2026-20192 betreffen door Cisco gegroepeerde kwetsbaarheden op het gebied van respectievelijk onvoldoende neutralisatie van invoer en onjuiste toegangscontrole. Cisco heeft voor deze hardening-release meerdere onderliggende kwetsbaarheden per CWE-klasse onder één CVE-ID samengebracht. De CVSS-score vertegenwoordigt daarbij de hoogst scorende onderliggende kwetsbaarheid.

Het NCSC adviseert om de beveiligingsupdates voor de kritieke kwetsbaarheden met voorrang toe te passen.

Oracle heeft 16 kwetsbaarheden verholpen in diverse Oracle PeopleSoft-producten, waaronder PeopleSoft Enterprise PeopleTools, PeopleSoft Enterprise PRTL Interaction Hub en PeopleSoft Enterprise CC Common Application Objects. De kwetsbaarheden betreffen verschillende beveiligingsproblemen in Oracle PeopleSoft-producten, waaronder mogelijkheden voor niet-geauthenticeerde en laaggeprivilegieerde kwaadwillenden om via netwerktoegang ongeautoriseerde acties uit te voeren. De kwetsbaarheden hebben CVSS-scores in de categorie hoog. Van de in totaal 16 kwetsbaarheden kunnen volgens Oracle vier kwetsbaarheden zonder authenticatie op afstand worden misbruikt. Succesvol misbruik kan onder meer leiden tot het verkrijgen van ongeautoriseerde toegang tot gevoelige informatie, het wijzigen van gegevens, volledige overname van getroffen componenten en het verstoren van de beschikbaarheid van getroffen systemen. Sommige kwetsbaarheden vereisen gebruikersinteractie of voorafgaande toegangsrechten, terwijl andere volledig op afstand en zonder authenticatie kunnen worden misbruikt.

Geen van de kwetsbaarheden is als kritiek aangemerkt. CVE-2026-83017 heeft met een CVSS-score van 8,8 de hoogste score en bevindt zich in de Report Distribution-component van PeopleSoft Enterprise PeopleTools. Voor misbruik is een laaggeprivilegieerd account vereist. CVE-2026-73954 heeft een CVSS-score van 8,1 en bevindt zich in de Business Interlink-component van PeopleSoft Enterprise PeopleTools. Deze kwetsbaarheid kan zonder authenticatie op afstand via HTTP worden misbruikt en kan volgens Oracle leiden tot volledige overname van PeopleSoft Enterprise PeopleTools. Oracle kwalificeert de kwetsbaarheid echter als moeilijk te misbruiken.

Oracle heeft 3 kwetsbaarheden verholpen in Oracle Java SE, waaronder Oracle GraalVM for JDK en Oracle GraalVM Enterprise Edition. De kwetsbaarheden betreffen verschillende beveiligingsproblemen in Oracle Java SE-producten, waarbij niet-geauthenticeerde kwaadwillenden via netwerktoegang kwetsbaarheden in de Compiler-component kunnen misbruiken. De kwetsbaarheden hebben CVSS-scores in de categorie hoog. Alle drie de kwetsbaarheden kunnen volgens Oracle zonder authenticatie op afstand worden misbruikt. Succesvol misbruik kan onder meer leiden tot het verkrijgen van ongeautoriseerde toegang tot gevoelige informatie, het wijzigen van gegevens en het verstoren van de beschikbaarheid van getroffen systemen.

Geen van de kwetsbaarheden is als kritiek aangemerkt. CVE-2026-83357 en CVE-2026-83408 hebben met een CVSS-score van 8,1 de hoogste score en bevinden zich in de Compiler-component van Oracle GraalVM for JDK. Voor beide kwetsbaarheden is geen authenticatie of gebruikersinteractie vereist. Oracle geeft aan dat de kwetsbaarheden moeilijk te misbruiken zijn, maar dat succesvolle exploitatie kan leiden tot volledige overname van het getroffen product.

Oracle heeft 50 kwetsbaarheden verholpen in diverse Oracle Analytics-producten, waaronder Oracle Business Intelligence Enterprise Edition en Oracle BI Publisher. De kwetsbaarheden betreffen verschillende beveiligingsproblemen in Oracle Analytics-producten, waaronder mogelijkheden voor niet-geauthenticeerde en laaggeprivilegieerde kwaadwillenden om via netwerktoegang ongeautoriseerde acties uit te voeren. De kwetsbaarheden hebben CVSS-scores variërend van hoog tot kritiek. Van de in totaal 50 kwetsbaarheden zijn vier als kritiek aangemerkt en volgens Oracle kunnen acht kwetsbaarheden zonder authenticatie op afstand worden misbruikt. Succesvol misbruik kan onder meer leiden tot het verkrijgen van ongeautoriseerde toegang tot gevoelige informatie, het wijzigen of verwijderen van gegevens, volledige overname van getroffen componenten en het verstoren van de beschikbaarheid van getroffen systemen. Sommige kwetsbaarheden vereisen gebruikersinteractie of voorafgaande toegangsrechten, terwijl andere volledig op afstand en zonder authenticatie kunnen worden misbruikt.

Van de vier kwetsbaarheden die als kritiek zijn aangemerkt, hebben drie een CVSS-score van 9,8 of hoger. CVE-2026-83282 heeft een CVSS-score van 9,9 en bevindt zich in Platform Security van Oracle Business Intelligence Enterprise Edition. Voor misbruik is een laaggeprivilegieerd account vereist. CVE-2026-83269 en CVE-2026-83283 hebben een CVSS-score van 9,8 en bevinden zich respectievelijk in BI Platform Security van Oracle BI Publisher en Platform Security van Oracle Business Intelligence Enterprise Edition. Deze twee kwetsbaarheden kunnen volgens Oracle zonder authenticatie op afstand via HTTP worden misbruikt en kunnen volgens Oracle leiden tot volledige overname van het getroffen product. CVE-2026-83268 heeft een CVSS-score van 9,1 en vereist een hooggeprivilegieerd account.

Het NCSC adviseert om de beveiligingsupdates voor de kritieke kwetsbaarheden met voorrang toe te passen.

Oracle heeft 6 kwetsbaarheden verholpen in diverse Oracle Financial Services Applications-producten, waaronder Oracle Banking Branch, Oracle Banking Corporate Lending, Oracle Banking Origination, Oracle Banking Treasury Management en Oracle Banking Corporate Lending Process Management. De kwetsbaarheden betreffen verschillende beveiligingsproblemen in Oracle Financial Services Applications-producten, waaronder mogelijkheden voor niet-geauthenticeerde en laaggeprivilegieerde kwaadwillenden om via netwerktoegang ongeautoriseerde acties uit te voeren. De kwetsbaarheden hebben CVSS-scores in de categorie hoog. Van de in totaal 6 kwetsbaarheden kunnen volgens Oracle twee kwetsbaarheden zonder authenticatie op afstand worden misbruikt. Succesvol misbruik kan onder meer leiden tot het verkrijgen van ongeautoriseerde toegang tot gevoelige informatie, het wijzigen van gegevens en het verstoren van de beschikbaarheid van getroffen systemen. Sommige kwetsbaarheden vereisen gebruikersinteractie of voorafgaande toegangsrechten, terwijl andere zonder authenticatie via het netwerk kunnen worden misbruikt.

Geen van de kwetsbaarheden is als kritiek aangemerkt. De kwetsbaarheden met de hoogste CVSS-score van 8,0 bevinden zich in Oracle Banking Branch en Oracle Banking Corporate Lending. Succesvolle exploitatie kan, afhankelijk van de kwetsbaarheid, een hoge impact hebben op de vertrouwelijkheid, integriteit en beschikbaarheid van getroffen systemen.

Oracle heeft 7 kwetsbaarheden verholpen in diverse Oracle Enterprise Manager-producten, waaronder Oracle Enterprise Manager Base Platform, Oracle Enterprise Manager for Fusion Middleware en Oracle Enterprise Manager for Oracle Database. De beveiligingsupdates zijn niet van toepassing op client-only installaties waarop Oracle Enterprise Manager niet is geïnstalleerd. De kwetsbaarheden betreffen verschillende beveiligingsproblemen in Oracle Enterprise Manager-producten, waaronder mogelijkheden voor niet-geauthenticeerde en laaggeprivilegieerde kwaadwillenden om via netwerktoegang ongeautoriseerde acties uit te voeren. De kwetsbaarheden hebben CVSS-scores variërend van middel tot kritiek. Van de in totaal 7 kwetsbaarheden zijn drie als kritiek aangemerkt en volgens Oracle kunnen vijf kwetsbaarheden zonder authenticatie op afstand worden misbruikt. Succesvol misbruik kan onder meer leiden tot het verkrijgen van ongeautoriseerde toegang tot gevoelige informatie, het wijzigen van gegevens en het verstoren van de beschikbaarheid van getroffen systemen. Sommige kwetsbaarheden vereisen voorafgaande toegangsrechten, terwijl andere volledig op afstand en zonder authenticatie kunnen worden misbruikt.

De drie kwetsbaarheden die als kritiek zijn aangemerkt, CVE-2026-41635, CVE-2026-83355 en CVE-2026-2332, hebben een CVSS-score van 9,1 of hoger en bevinden zich in Agent Next Gen van Oracle Enterprise Manager Base Platform, Metrics van Oracle Enterprise Manager for Fusion Middleware en de Oracle Management Service (OMS) van Oracle Enterprise Manager Base Platform. Deze kwetsbaarheden kunnen volgens Oracle zonder authenticatie op afstand worden misbruikt, vereisen een lage aanvalscomplexiteit en geen gebruikersinteractie. Succesvolle exploitatie kan een hoge impact hebben op de vertrouwelijkheid en integriteit en,ook op de beschikbaarheid van getroffen systemen.

Het NCSC adviseert om de beveiligingsupdates voor de kritieke kwetsbaarheden met voorrang toe te passen.

Apple heeft meerdere kwetsbaarheden verholpen in macOS (Specifiek voor Golden Gate 27, Sequoia 15.8, Tahoe 26.7). De kwetsbaarheden in macOS betreffen onder andere heap-based buffer overflows, use-after-free fouten, integer overflows, null pointer dereferences, onjuiste toegangscontrole, privilege escalatie, race conditions, out-of-bounds reads en writes, loggingsproblemen, en problemen met state management. Deze kunnen leiden tot onverwachte systeem- of applicatie-terminaties, kernel geheugen corruptie, ongeautoriseerde toegang tot gevoelige gebruikersdata, omzeilen van sandbox- en Gatekeeper-beveiligingen, en het mogelijk maken van remote code execution of denial-of-service.

Apple heeft meerdere kwetsbaarheden verholpen in iOS en iPadOS. De kwetsbaarheden betreffen diverse beveiligingsproblemen zoals authenticatiefouten, out-of-bounds schrijf- en leesfouten, use-after-free, buffer overflows, race conditions, permissie- en autorisatieproblemen, geheugenbeschadiging, informatielekken, logica- en validatiefouten, en privacy-gerelateerde zwakheden. Aanvallers kunnen deze kwetsbaarheden misbruiken om ongeautoriseerde toegang te verkrijgen tot gebruikersgegevens, systeeminstabiliteit te veroorzaken door onverwachte systeem- of applicatieafsluitingen, kernelgeheugen te lezen of te beschadigen, privileges te escaleren, sandbox-beperkingen te omzeilen, en netwerkverkeer te manipuleren. Sommige kwetsbaarheden kunnen leiden tot het uitlekken van gevoelige informatie zoals Wi-Fi-wachtwoorden, apparaatidentificatoren, en gebruikerslocaties. De problemen zijn aanwezig in kerncomponenten van de besturingssystemen en diverse subsysteemfuncties zoals bestandshandling, geheugenbeheer, authenticatieprocessen, en webcontentverwerking. De fixes zijn doorgevoerd via verbeterde validatie, strengere toegangscontroles, verbeterde geheugen- en state management, en het verwijderen van kwetsbare code.

Palo Alto Networks heeft een kwetsbaarheid verholpen in PAN-OS software, specifiek voor VM-Series en PA-Series firewalls, evenals Panorama management software. De kwetsbaarheid betreft een buffer overflow in de XML-verwerkingsfunctionaliteit van PAN-OS. Ongeauthenticeerde aanvallers met netwerktoegang kunnen hierdoor een denial-of-service veroorzaken op VM-Series firewalls of willekeurige code uitvoeren met rootrechten op PA-Series firewalls. Ook Panorama management software is getroffen. De kwetsbaarheid ontstaat door onjuiste verwerking van XML-invoer, wat leidt tot geheugenbeschadiging en mogelijk volledige systeemcompromittering.