CVE-2026-83075: критическая утечка данных в Oracle Siebel CRM Cloud Applications
В Siebel CRM Cloud Applications (компонент Siebel Cloud Manager) обнаружена уязвимость высокой критичности с оценкой CVSS 7.5. Неаутентифицированный атакующий с сетевым доступом по HTTP может получить доступ к критичным данным. Под угрозой версии 22.3–26.7.
Подробности
Уязвимость затрагивает поддерживаемые версии Siebel CRM Cloud Applications в диапазоне 22.3–26.7. Согласно вектору CVSS (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N), атака возможна по сети (AV:N) при низкой сложности эксплуатации (AC:L) и не требует аутентификации (PR:N) или действий пользователя (UI:N). Воздействие ограничивается нарушением конфиденциальности (C:H), тогда как целостность и доступность не затронуты (I:N/A:N). Эксплуатация уязвимости позволяет неаутентифицированному атакующему, имеющему сетевой доступ по HTTP, скомпрометировать Siebel CRM Cloud Applications. Успешная атака приводит к несанкционированному доступу к критичным данным либо к полному доступу ко всем данным, доступным в приложении. Учитывая отсутствие необходимости в учётных данных или взаимодействии с пользователем, риск массовых автоматизированных атак существенно возрастает.Что делать
Основная рекомендация — как можно скорее установить обновления, выпущенные Oracle в рамках регулярных патчей безопасности. Проверьте актуальность версии вашего инстанса Siebel CRM Cloud Applications: если вы используете релиз в диапазоне 22.3–26.7 без актуальных исправлений, обновление критично. До установки патча следует применить компенсирующие меры: — ограничить сетевой доступ к компоненту Siebel Cloud Manager средствами межсетевого экранирования и списков разрешённых адресов; — не публиковать интерфейс управления в открытом доступе без необходимости; — включить логирование и мониторинг подозрительной активности HTTP-запросов к приложению; — проверить журналы на предмет возможных попыток несанкционированного обращения к данным. Если облачный инстанс обслуживается провайдером или самой Oracle, уточните у поставщика статус применения исправления. Для самостоятельно развёрнутых сред обновление выполняется в стандартном порядке патчинга Oracle. Итог: CVE-2026-83075 — серьёзная уязвимость раскрытия данных в Oracle Siebel CRM Cloud Applications, эксплуатация которой не требует аутентификации. Всем организациям, использующим затронутые версии 22.3–26.7, следует незамедлительно установить обновления и ограничить сетевой доступ к компоненту до применения патча.Источник: CVE Project (cvelistV5)