Критическая уязвимость CVE-2026-83269 в Oracle BI Publisher позволяет захватить систему без аутентификации
В Oracle BI Publisher обнаружена критическая уязвимость CVE-2026-83269 с оценкой CVSS 9.8. Неаутентифицированный атакующий с сетевым доступом по HTTP может полностью скомпрометировать продукт. Уязвимость затрагивает версии 8.2.0.0.0, 12.2.1.4.0 и 26.01.0.0.0.
Подробности
Уязвимости подвержены следующие поддерживаемые версии Oracle BI Publisher: 8.2.0.0.0, 12.2.1.4.0 и 26.01.0.0.0. Согласно описанию, проблема затрагивает компонент BI Platform Security. Базовый балл CVSS 3.1 составляет 9.8 (CRITICAL) с вектором CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H. Это означает, что атака возможна по сети (AV:N), не требует специальных условий эксплуатации (AC:L) и привилегий (PR:N), не нуждается в действиях пользователя (UI:N). Успешная эксплуатация приводит к высокому воздействию на конфиденциальность, целостность и доступность (C:H/I:H/A:H). По классификации Oracle, уязвимость позволяет неаутентифицированному атакующему с сетевым доступом через HTTP скомпрометировать Oracle BI Publisher. Наиболее серьёзный сценарий — полный захват (takeover) продукта, что создаёт прямой риск для инфраструктуры, в которой развёрнут сервис, и для обрабатываемых в нём данных отчётности.Что делать
Основная рекомендация — как можно скорее применить обновления безопасности, выпущенные Oracle для затронутых версий продукта. Проверить наличие патчей и соответствующих рекомендаций следует в официальных бюллетенях Oracle по безопасности. До установки обновления целесообразно применить компенсирующие меры: ограничить сетевой доступ к Oracle BI Publisher средствами межсетевого экрана и списков разрешённых адресов, не публиковать сервис в открытый интернет без необходимости, а также усилить мониторинг подозрительной активности в журналах HTTP-доступа и приложения. Учитывая отсутствие требования аутентификации, любые необычные обращения к интерфейсу BI Publisher заслуживают повышенного внимания со стороны службы ИБ. Итог: CVE-2026-83269 — уязвимость максимального уровня риска, позволяющая неаутентифицированному атакующему захватить Oracle BI Publisher через HTTP. Организациям, использующим затронутые версии, необходимо в приоритетном порядке установить патчи и до этого момента ограничить доступность сервиса из сети.Источник: CVE Project (cvelistV5)