- Son 7 gün
- CWE-284
CVE-2026-91655
Oracle Essbase Security bileşeninde yetki yükseltme ve veri erişim açığı
- Yayımlandı
- Güncellendi
- 27 Eki 2026
- Açık yaşı
- 7 gün
- Kaydı açan
- oracle
Yönetici özeti
Bu açık, şirketin analiz ve raporlama altyapısındaki kritik verilere yetkisiz erişim riski taşımaktadır. Saldırganın hassas iş verilerini okuyabilmesi, değiştirebilmesi veya hizmeti kesintiye uğratabilmesi mümkündür. Etkilenen sistemler için en kısa sürede güvenlik yamasının uygulanması önerilir.
ÖzetTürkçe
Oracle Essbase ürününün Security bileşenindeki bu açık, CWE-284 (uygun olmayan erişim denetimi) sınıfına girmektedir. Etkilenen sürüm 21.8.3.0.0 olarak belirtilmiştir ve açık HTTP üzerinden ağ erişimi olan, düşük yetkili bir saldırgan tarafından kolayca istismar edilebilir. Açık kapsam değişikliği (scope change) içerdiğinden, Essbase'in çevresindeki diğer ürünler de etkilenebilir.
Saldırgan ne yapabilir?
Başarılı bir saldırı, Essbase'in erişebildiği kritik verilere yetkisiz erişim ve bazı verilerde ekleme, güncelleme veya silme imkanı sağlayabilir. Ayrıca Essbase hizmetinde kısmi hizmet reddi (DoS) oluşturulabilir.
Kaynaktaki açıklama (İngilizce)
Vulnerability in Oracle Essbase (component: Security). The supported version that is affected is 21.8.3.0.0. Easily exploitable vulnerability allows low privileged attacker with network access via HTTP to compromise Oracle Essbase. While the vulnerability is in Oracle Essbase, attacks may significantly impact additional products (scope change). Successful attacks of this vulnerability can result in unauthorized access to critical data or complete access to all Oracle Essbase accessible data as well as unauthorized update, insert or delete access to some of Oracle Essbase accessible data and unauthorized ability to cause a partial denial of service (partial DOS) of Oracle Essbase. CVSS 3.1 Base Score 9.1 (Confidentiality, Integrity and Availability impacts). CVSS Vector: (CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:L/A:L).
Ne yapmalı?
- Oracle'ın yayımladığı güvenlik danışmanındaki düzeltme bilgilerini inceleyin ve etkilenen Oracle Essbase sürümünü (21.8.3.0.0) güvenlik güncellemesi uygulanmış bir sürüme yükseltin. Genel öneri
- Güncelleme uygulanana kadar Essbase sunucusuna erişimi yalnızca güvenilen ağ ve kullanıcılarla sınırlandırın. Genel öneri
- Düşük yetkili hesapların gereksiz erişimlerini gözden geçirin ve kullanılmayan hesapları devre dışı bırakın. Genel öneri
Ek önlemler
- Essbase erişim ve kimlik doğrulama günlüklerini düzenli olarak izleyin, olağandışı veri erişimi veya yetki değişikliklerini araştırın. Genel öneri
- Essbase sunucusunu internete doğrudan açmayın; erişimi ağ segmentasyonu ve güvenlik duvarı kuralları ile kısıtlayın. Genel öneri
- Essbase'in bağlı olduğu diğer sistemlerin kimlik bilgilerini ve yetkilerini, olası yanal hareket riskine karşı gözden geçirin. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Oracle Corporation Oracle Essbase | 21.8.3.0.0 | – |
Kaynaklar3 kaynak
- CVE.org kaydı
- NVD kaydı
- oracle.com/security-alerts/cpuoct2026.html Üretici bülteni
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.