33 уязвимости затрагивают Oracle Business Intelligence Enterprise Edition версий 8.2.0.0.0, 12.2.1.4.0 и 26.01.0.0.0, а также Oracle BI Publisher в тех же ветках. Четырнадцать проблем эксплуатируются по сети и не требуют аутентификации. Максимальная оценка по CVSS 3.1 в бюллетене Oracle составляет 9.1 из 10. Остальные уязвимости требуют учётной записи на сервере приложений либо действий пользователя.
Что вошло в октябрьский бюллетень Oracle Analytics
Сетевые атаки проходят по HTTP и HTTPS. Успешная эксплуатация открывает доступ к критичным данным, позволяет создавать, изменять и удалять записи, а в части случаев приводит к отказу в обслуживании или к захвату компонента целиком. Показательный пример: CVE-2026-91241 с оценкой 9.1. Проблема в модуле Analytics Web Administration требует высокой привилегии, однако последствия выходят за границы продукта и затрагивают смежные системы. Второй случай, CVE-2026-91534 с оценкой 8.6, обходится без аутентификации: атакующий вызывает повторяемый сбой сервера и попутно получает частичный доступ к данным и возможность их правки.
Локальные векторы требуют входа в систему, где работает Oracle Analytics. Две уязвимости срабатывают только после того, как пользователь откроет подготовленный файл или перейдёт по ссылке. Набор затронутых сборок различается: часть проблем затрагивает только 12.2.1.4.0, часть только 8.2.0.0.0 и 26.01.0.0.0, BI Publisher присутствует во всех трёх ветках. Ветка 12.2.1.4.0 остаётся в поддержке дольше остальных, поэтому для неё исправления выходят отдельным набором.
Оценка CVSS 3.1 задаёт тяжесть последствий по шкале от 0 до 10, но не учитывает наличие готового эксплойта. Метрика EPSS показывает вероятность эксплуатации в ближайшие 30 дней. Для этих идентификаторов она лежит в диапазоне от 0,001 до 0,01.
Исправления приходят в составе октябрьского Critical Patch Update. Oracle выпускает патчи для поддерживаемых сборок 8.2.0.0.0, 12.2.1.4.0 и 26.01.0.0.0. Подписчики поддержки скачивают их через My Oracle Support, документ CPU361. Сводная таблица компонентов опубликована на странице https://www.oracle.com/security-alerts/cpuoct2026.html. Обходных мер вендор не приводит: без установки обновления проблема остаётся.
Сведений об эксплуатации этих уязвимостей в реальных атаках нет. Публичного эксплойта на момент публикации бюллетеня тоже нет. При этом четырнадцать сетевых проблем без аутентификации дают широкую поверхность атаки, а часть компонентов доступна из веб-интерфейса по умолчанию.
Обновить Oracle Business Intelligence Enterprise Edition и Oracle BI Publisher до сборок из октябрьского CPU. Проверить установку отдельно на сервере аналитики и на сервере публикации отчётов: это разные компоненты с разными наборами файлов. Ограничить доступ к HTTP-интерфейсам Analytics на периметре, оставив только адреса рабочих клиентов. Отключить или изолировать неиспользуемые модули, в том числе Analytics Web Administration и BI Search. Пересмотреть права учётных записей: часть уязвимостей эксплуатируется с низкими привилегиями, поэтому лишние роли расширяют возможности атакующего.
33 уязвимости в одном бюллетене означают, что платформа требует регулярного обновления по графику квартальных выпусков. Четырнадцать сетевых проблем без аутентификации закрываются только установкой Critical Patch Update.
Ссылки
