CVE-2026-87194: критическая утечка данных в Oracle Hyperion Financial Management

Компания Oracle сообщила об уязвимости в компоненте Security продукта Oracle Hyperion Financial Management. Проблема получила идентификатор CVE-2026-87194 и оценена как высокоопасная — базовый балл CVSS 3.1 составляет 7.5.

Подробности

Уязвимость затрагивает поддерживаемую версию Oracle Hyperion Financial Management 11.2.26.0.000. По классификации CVSS вектор выглядит так: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N. Это означает, что атака возможна удалённо по сети (AV:N), сложность эксплуатации низкая (AC:L), привилегии не требуются (PR:N), взаимодействие с пользователем не нужно (UI:N).

Успешная эксплуатация приводит к несанкционированному доступу к критичным данным или к полному доступу ко всем данным, доступным в Oracle Hyperion Financial Management. Таким образом, основное воздействие затрагивает конфиденциальность (C:H), тогда как целостность и доступность не страдают (I:N/A:N).

Уязвимость классифицируется Oracle как легко эксплуатируемая: неаутентифицированный злоумышленник с сетевым доступом через HTTP может скомпрометировать систему. Для финансовых департаментов, использующих Hyperion Financial Management для консолидации отчётности и управления финансовыми данными, это создаёт прямой риск утечки чувствительной информации.

Что делать

Oracle традиционно выпускает исправления в рамках ежеквартальных Critical Patch Updates (CPU). Рекомендуется:

• Проверить наличие обновлений безопасности для Oracle Hyperion Financial Management и установить их как можно скорее.
• Ограничить сетевой доступ к компонентам Hyperion: не размещать их в публичном периметре без необходимости, использовать сегментацию сети, VPN и межсетевые экраны.
• Внедрить мониторинг HTTP-трафика к серверам Hyperion для выявления подозрительных запросов.
• При отсутствии патча рассмотреть временные митигации: ограничение списков разрешённых IP-адресов, усиление логирования и контроля доступа.

Также стоит проверить журналы на предмет признаков попыток эксплуатации, особенно если система была доступна из недоверенных сегментов сети.

Уязвимость CVE-2026-87194 демонстрирует, насколько важно своевременно обновлять корпоративные финансовые приложения. Неаутентифицированный удалённый доступ к критичным данным без каких-либо предварительных условий делает эту угрозу приоритетной для организаций, использующих Oracle Hyperion Financial Management 11.2.26.0.000. Установка патча и ограничение сетевого доступа должны быть выполнены в кратчайшие сроки.

Источник: CVE Project (cvelistV5)