CVE-2026-83074: критическая уязвимость в Oracle Siebel CRM Cloud Applications
В Siebel Cloud Manager (компонент Oracle Siebel CRM Cloud Applications) выявлена уязвимость с оценкой CVSS 8.6. Неаутентифицированный атакующий с сетевым доступом по SSH может получить доступ к критичным данным. Затронуты поддерживаемые версии 22.3–26.7.
Подробности
Уязвимость затрагивает продукт Oracle Corporation Siebel CRM Cloud Applications, а именно компонент Siebel Cloud Manager. Поддерживаемые версии, в которых присутствует проблема, — с 22.3 по 26.7 включительно. Характер уязвимости описывается как «легко эксплуатируемая» (easily exploitable). Атакующему не требуется аутентификация (PR:N), взаимодействие с пользователем не нужно (UI:N), а сам вектор атаки — сетевой (AV:N) с низкой сложностью (AC:L). Ключевая особенность — эксплуатация через SSH, что указывает на доступность уязвимой функциональности по этому протоколу. Базовая оценка CVSS 3.1 составляет 8.6 (HIGH). Вектор: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:N/A:N. Обратите внимание на параметр S:C (scope change) — хотя сама уязвимость находится в Siebel CRM Cloud Applications, успешная атака может существенно повлиять на дополнительные продукты за пределами изначальной области безопасности. По компонентам воздействия затронута конфиденциальность: возможен несанкционированный доступ к критичным данным или полный доступ ко всем данным Siebel CRM Cloud Applications, доступным в системе. Целостность и доступность, согласно вектору, не страдают. Дополнительные детали эксплойта (конкретный механизм эксплуатации через SSH) в записи CVE не раскрываются, поэтому при планировании защиты следует опираться на официальные рекомендации вендора.Что делать
Основная рекомендация — обновить Siebel CRM Cloud Applications до версии, в которой уязвимость устранена. Поскольку запись охватывает диапазон 22.3–26.7, необходимо свериться с официальным бюллетенем Oracle по безопасности (Oracle Critical Patch Update / Security Alert) и уточнить, в какой именно версии выпущено исправление для Siebel Cloud Manager. Oracle традиционно публикует патчи в рамках квартальных CPU — проверьте актуальный бюллетень для вашей линейки версий. До установки обновления целесообразно применить компенсирующие меры: - Ограничить сетевой доступ к компонентам Siebel Cloud Manager, особенно по SSH: закрыть порт для внешних сетей, разрешить подключения только с доверенных хостов и через VPN или bastion-сервер. - Ужесточить правила firewall и сегментацию сети, чтобы снизить вероятность эксплуатации «из интернета». - Включить усиленное журналирование и мониторинг SSH-подключений к инфраструктуре Siebel, настроить оповещения об аномальной активности. - Проверить, не было ли признаков компрометации: подозрительные сессии, необычные обращения к данным, изменения в конфигурации. - Ограничить и пересмотреть права доступа к облачным ресурсам, связанным с Siebel CRM, чтобы минимизировать эффект от возможного scope change. Поскольку уязвимость не требует аутентификации и легко эксплуатируется, откладывать обновление не стоит. Если по каким-то причинам патч установить невозможно, следует максимально быстро реализовать сетевые митигации из списка выше. Итог: CVE-2026-83074 — серьёзная уязвимость уровня HIGH (CVSS 8.6) в Oracle Siebel CRM Cloud Applications, позволяющая неаутентифицированному атакующему через SSH получить доступ к критичным данным, в том числе за пределами исходного компонента. Всем организациям, использующим затронутые версии 22.3–26.7, необходимо срочно проверить наличие исправлений у вендора, обновить систему и до применения патча ограничить сетевой доступ к Siebel Cloud Manager.Источник: CVE Project (cvelistV5)