Kerngegevens
- Leverancier
- Oracle
- Soort software
- –
- Getroffen versies
- Oracle Concurrent Processing 12.2.3 t/m 12.2.14
- Oplossing
- Nog geen oplossing
- Opgeloste versie
- Nog geen update
- CVE gepubliceerd
- 5 oktober 2025
- Op de KEV-lijst sinds
- 6 oktober 2025
- Gepubliceerd op LekkenRadar
- 9 oktober 2026
- Laatst gewijzigd bij NVD
- 9 oktober 2026
Simpel uitgelegd
Wat is er aan de hand?
In Oracle Concurrent Processing, een onderdeel van Oracle E-Business Suite, zit een lek in de component BI Publisher Integration. Een aanvaller zonder inloggegevens kan via het netwerk het onderdeel volledig overnemen. Het lek staat sinds oktober 2025 op de lijst van actief misbruikte lekken en wordt gekoppeld aan ransomware-campagnes.
Wie loopt risico?
Je loopt risico als je organisatie Oracle E-Business Suite gebruikt, in de ondersteunde versies 12.2.3 tot en met 12.2.14. De aanval verloopt via HTTP, dus vooral systemen die bereikbaar zijn via internet of een groot intern netwerk zijn kwetsbaar. Er is geen inlog of handeling van een gebruiker voor nodig.
Wat moet je doen?
Nog geen update beschikbaar
De leverancier werkt eraan. Hieronder lees je hoe je het risico tot die tijd kleiner maakt.
Ga na of je E-Business Suite gebruikt
Controleer of je organisatie Oracle E-Business Suite draait met Concurrent Processing in een versie van 12.2.3 tot en met 12.2.14.
Volg het advies van Oracle
Lees het beveiligingsadvies van Oracle voor dit lek en voer de daarin genoemde maatregelen uit. Kan dat niet, dan adviseert de KEV-lijst het gebruik van het product te staken.
Beperk de bereikbaarheid
Zorg dat E-Business Suite niet zomaar via HTTP vanaf internet bereikbaar is. Laat alleen verkeer toe van netwerken en systemen die het echt nodig hebben.
Controleer op verdachte activiteit
Omdat het lek actief wordt misbruikt, is het verstandig dat je beveiligingsteam of leverancier nagaat of er sporen van misbruik te vinden zijn.
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
Het lek zit in de component BI Publisher Integration van Oracle Concurrent Processing in Oracle E-Business Suite 12.2.3 tot en met 12.2.14. Het gaat om onjuiste authenticatie (CWE-287): een niet-geauthenticeerde aanvaller met netwerktoegang via HTTP kan het onderdeel overnemen. De aanval is eenvoudig uit te voeren, vereist geen rechten en geen gebruikersinteractie. Het effect op vertrouwelijkheid, integriteit en beschikbaarheid is hoog, wat leidt tot CVSS-score 9,8 (vector CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H). De EPSS-score is 0,997.
CVSS-vector (versie 3.1, basisscore 9,8, bron: CNA)
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H- Zwakheid (CWE)
- CWE-287 · Onjuiste authenticatie
- Aanvalsroute
- Via het netwerk of internet
- EPSS, kans op misbruik binnen 30 dagen
- 99,7%
- Aanvalscode openbaar
- Ja
- Op de KEV-lijst van CISA
- Sinds 6 oktober 2025
- Deadline van CISA
- 27 oktober 2025
- Gebruikt door ransomwaregroepen
- Ja, volgens CISA