Kerngegevens
- Leverancier
- Oracle
- Soort software
- basissoftware
- Getroffen versies
- MySQL Server 8.4.0-8.4.12, 9.7.0-9.7.3, 26.7.0-26.7.1
- MySQL Cluster 8.0.0-8.0.49, 8.4.0-8.4.12, 9.7.0-9.7.3, 26.7.0-26.7.1
- Oplossing
- Update beschikbaar
- Opgeloste versie
- MySQL Server en MySQL Cluster patch uit de Critical Patch Update van oktober 2026
- CVE gepubliceerd
- 20 oktober 2026
- Gepubliceerd op LekkenRadar
- 21 oktober 2026
- Laatst gewijzigd bij NVD
- 21 oktober 2026
Simpel uitgelegd
Wat is er aan de hand?
In de component Group Replication GCS van MySQL Server en MySQL Cluster zit een beveiligingslek. Een aanvaller die niet hoeft in te loggen, kan hiermee de volledige controle over de databaseserver overnemen. Oracle beoordeelt het lek als makkelijk uit te buiten. De ernst is hoog, met een score van 8,8.
Wie loopt risico?
Je loopt risico als je een van de getroffen versies van MySQL Server of MySQL Cluster draait. De aanvaller moet toegang hebben tot hetzelfde netwerksegment als de server, dus het lek is niet rechtstreeks vanaf internet te misbruiken. Het risico is het grootst in netwerken waar andere systemen of gebruikers niet volledig te vertrouwen zijn. Er is geen aanwijzing dat het lek actief wordt misbruikt.
Wat moet je doen?
Controleer je versie
Kijk na of je MySQL Server of MySQL Cluster gebruikt in een getroffen versie: MySQL Server 8.4.0-8.4.12, 9.7.0-9.7.3 of 26.7.0-26.7.1, of MySQL Cluster 8.0.0-8.0.49, 8.4.0-8.4.12, 9.7.0-9.7.3 of 26.7.0-26.7.1.
Installeer de update van Oracle
Oracle heeft het lek verholpen in de Critical Patch Update van oktober 2026. Zoek in het advies op welke MySQL-versie voor jouw reeks de oplossing bevat en werk daarnaar bij: https://www.oracle.com/security-alerts/cpuoct2026.html
Test eerst als dat kan
Probeer de update eerst in een testomgeving, zeker bij clusters en servers met Group Replication.
Beperk de toegang tot het netwerksegment
Zorg dat alleen vertrouwde systemen in hetzelfde netwerksegment zitten als je MySQL-servers, bijvoorbeeld met netwerksegmentatie of firewallregels, vooral voor het verkeer tussen servers die samenwerken.
Meer lekken in dezelfde patchronde
Dezelfde Critical Patch Update verhelpt ook een kritiek lek in WebLogic Server (CVE-2026-83399, https://lekkenradar.nl/cve/cve-2026-83399/) en lekken in de WebLogic Server Proxy Plug-in (CVE-2026-83379, https://lekkenradar.nl/cve/cve-2026-83379/), Oracle HTTP Server (CVE-2026-87346, https://lekkenradar.nl/cve/cve-2026-87346/) en Java SE (CVE-2026-91484, https://lekkenradar.nl/cve/cve-2026-91484/).
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
Het lek zit in de component Server: Group Replication GCS van MySQL Server en MySQL Cluster. Volgens de CVSS 3.1-vector (AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) is de aanvalsroute aangrenzend: de aanvaller heeft toegang nodig tot het fysieke communicatiesegment van de hardware waarop de server draait. De aanval is laag in complexiteit en vereist geen authenticatie en geen gebruikersinteractie. Een geslaagde aanval kan leiden tot overname van de server, met hoge impact op vertrouwelijkheid, integriteit en beschikbaarheid. Er is geen CWE-classificatie bekend en er is geen publieke exploit gemeld.
CVSS-vector (versie 3.1, basisscore 8,8, bron: NVD)
CVSS:3.1/AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H- Aanvalsroute
- Vanaf hetzelfde netwerk
- EPSS, kans op misbruik binnen 30 dagen
- 0,3%
- Aanvalscode openbaar
- Nee
Advies van de overheid
- NCSC (Nederland)Kans: Middel · Schade: HoogBekijk advies