Критическая уязвимость в Oracle Communications Billing and Revenue Management (CVE-2026-101765)
В продукте Oracle Communications Billing and Revenue Management (компонент BRM Server) выявлена уязвимость, которой присвоен идентификатор CVE-2026-101765. Проблема затрагивает систему биллинга и управления доходами и представляет серьёзную опасность для организаций, использующих это решение.
Подробности
Уязвимость присутствует в поддерживаемых версиях Oracle Communications Billing and Revenue Management: 15.0.0.0.0, 15.0.1.0.0, 15.1.0.0.0 и 15.2.0.0.0. По данным CVE Project, проблема относится к компоненту BRM Server.
Уязвимость классифицируется как легко эксплуатируемая: неаутентифицированный атакующий с сетевым доступом по HTTP может скомпрометировать систему. Успешная эксплуатация позволяет получить несанкционированный доступ на создание, удаление или изменение критических данных, а также доступ ко всем данным, доступным в Oracle Communications Billing and Revenue Management, включая полное чтение критической информации.
Базовый балл CVSS 3.1 составляет 9.1 (CRITICAL). Вектор: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N. Уязвимость не требует привилегий (PR:N) и взаимодействия с пользователем (UI:N), что делает её особенно опасной при наличии сетевого доступа к сервису. Воздействие затрагивает конфиденциальность и целостность данных; влияние на доступность не заявлено.
Что делать
Организациям, использующим затронутые версии Oracle Communications Billing and Revenue Management, рекомендуется:
- установить обновления, выпущенные Oracle для устранения CVE-2026-101765, и перейти на исправленную версию продукта;
- до установки патча ограничить сетевой доступ к BRM Server, в первую очередь по HTTP, средствами межсетевого экранирования и сегментации сети;
- проверить журналы на предмет подозрительной активности и несанкционированных изменений данных;
- отслеживать официальные бюллетени безопасности Oracle Communications.
Уязвимость CVE-2026-101765 с оценкой 9.1 относится к категории критических: она не требует аутентификации и позволяет удалённо воздействовать на критически важные данные биллинговой системы. Затронуты четыре поддерживаемые ветки продукта. Первоочередная мера — установка официального обновления и ограничение сетевого доступа к BRM Server до момента патчирования.
Источник: CVE Project (cvelistV5)