- Aktif istismar
- CWE-287
CVE-2025-61882
Oracle E-Business Suite Concurrent Processing'te kimlik doğrulama atlatma açığı
- Yayımlandı
- Güncellendi
- 9 Eki 2026
- Açık yaşı
- 388 gün
- Kaydı açan
- oracle
Yönetici özeti
Oracle E-Business Suite kullanan kurumlarda, internetten erişebilen bir saldırgan şifre bilmeden sistemin ilgili bileşenini ele geçirebilir. Açık fiilen saldırılarda kullanılmaktadır, bu nedenle düzeltmenin gecikmeden uygulanması gerekir. Finans ve operasyon verilerinin yer aldığı sistemler için ciddi bir iş riski oluşturur.
ÖzetTürkçe
Oracle E-Business Suite içindeki Oracle Concurrent Processing ürününün BI Publisher Integration bileşeninde kritik bir güvenlik açığı bulunuyor (CWE-287, yetersiz kimlik doğrulama). Etkilenen sürümler 12.2.3 ile 12.2.14 arasındadır. Kimlik doğrulaması yapmamış bir saldırgan, HTTP üzerinden ağ erişimiyle bu açığı kolayca istismar edebilir. Açık, CISA'nın bilinen istismar edilen açıklar (KEV) listesine 2025-10-06 tarihinde eklenmiştir ve aktif olarak istismar edilmektedir.
Saldırgan ne yapabilir?
Saldırgan kimlik doğrulaması olmadan Oracle Concurrent Processing bileşeninin kontrolünü ele geçirebilir. Bu durum gizlilik, bütünlük ve erişilebilirlik üzerinde yüksek etki yaratır (CVSS 9.8).
Kaynaktaki açıklama (İngilizce)
Vulnerability in the Oracle Concurrent Processing product of Oracle E-Business Suite (component: BI Publisher Integration). Supported versions that are affected are 12.2.3-12.2.14. Easily exploitable vulnerability allows unauthenticated attacker with network access via HTTP to compromise Oracle Concurrent Processing. Successful attacks of this vulnerability can result in takeover of Oracle Concurrent Processing. CVSS 3.1 Base Score 9.8 (Confidentiality, Integrity and Availability impacts). CVSS Vector: (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H).
CISA'nın önerdiği eylem (İngilizce)
Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.
Ne yapmalı?
- Oracle'ın güvenlik bildiriminde yer alan yamayı ve azaltma talimatlarını, etkilenen 12.2.3–12.2.14 sürümlerini çalıştıran tüm E-Business Suite ortamlarına bir an önce uygulayın. Genel öneri
- CISA gereği: üretici talimatlarına göre azaltma önlemlerini uygulayın; bulut hizmetleri için geçerli BOD 22-01 yönergelerini izleyin; azaltma önlemleri mümkün değilse ürünün kullanımını durdurun. CISA
- Yama uygulanana kadar E-Business Suite'e internetten gelen HTTP erişimini güvenlik duvarı veya ters vekil sunucu ile kısıtlayın ve yalnızca güvenilir ağlara izin verin. Genel öneri
Ek önlemler
- Açığın aktif olarak istismar edildiği göz önüne alınarak sistemleri olası ihlal belirtileri açısından inceleyin: beklenmeyen oturumlar, yeni hesaplar, şüpheli süreçler ve olağan dışı giden bağlantılar. Genel öneri
- BI Publisher Integration ile ilgili HTTP isteklerini web ve uygulama günlüklerinde izleyin; kimlik doğrulaması olmadan yapılan olağan dışı istekleri uyarıya bağlayın. Genel öneri
- E-Business Suite sunucularını doğrudan internete açmaktan kaçının; erişimi VPN veya ağ bölümleme ile sınırlandırın. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Oracle Corporation Oracle Concurrent Processing | ≥ 12.2.3, ≤ 12.2.14 | – |
Kaynaklar6 kaynak
Kayıt geçmişi
- CISA KEV listesine eklendi (saldırılarda kullanılıyor)
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.