F5 Networks heeft een kwetsbaarheid verholpen in BIG-IP Access Policy Manager (APM). De kwetsbaarheid stelt een ongeauthenticeerde kwaadwillende in staat om malafide code uit te voeren. Hiertoe dient de kwaadwillende malafide netwerkverkeer naar het kwetsbare systeem te versturen. BIG-IP APM-systemen zijn alleen kwetsbaar wanneer een access policy en een OAuth-profiel op de virtuele server zijn geconfigureerd.
F5 Networks geeft aan dat het een zeroday-kwetsbaarheid is die actief wordt misbruikt.
VeloCloud heeft een kwetsbaarheid verholpen in VeloCloud Orchestrator (VCO) on-premises. De kwetsbaarheid in VCO stelt externe aanvallers in staat om toegang te krijgen tot geprivilegieerde interne functionaliteit, wat de vertrouwelijkheid, integriteit en beschikbaarheid kan aantasten.
De kwetsbaarheid wordt actief uitgebuit en is in hosted VCO-omgevingen reeds verholpen.
Beperk de toegang tot de VCO-webinterface tot vertrouwde administratieve netwerken om de blootstelling aan de kwetsbaarheid te verminderen en monitor de omgeving op mogelijke compromittering.
Check Point heeft een kwetsbaarheid verholpen in Check Point's Security Management and Log Servers. De kwetsbaarheid betreft een stack overflow die optreedt tijdens het ongeauthenticeerde inlogproces. Een aanvaller kan deze kwetsbaarheid op afstand misbruiken om willekeurige code uit te voeren met rootrechten. Hierdoor kan de aanvaller authenticatie omzeilen en volledige controle over het systeem verkrijgen. Voor exploitatie is geen voorafgaande authenticatie vereist.
Oracle heeft 19 kwetsbaarheden verholpen in Oracle VM VirtualBox. De kwetsbaarheden betreffen verschillende beveiligingsproblemen in Oracle VM VirtualBox, waaronder mogelijkheden voor lokale en geauthenticeerde kwaadwillenden om ongeautoriseerde acties uit te voeren. De kwetsbaarheden hebben CVSS-scores variërend van laag tot hoog. Van de in totaal 19 kwetsbaarheden kan volgens Oracle één kwetsbaarheid zonder authenticatie op afstand worden misbruikt. Succesvol misbruik kan onder meer leiden tot het verkrijgen van ongeautoriseerde toegang tot gevoelige informatie, het wijzigen van gegevens en het verstoren van de beschikbaarheid van getroffen systemen. Voor het merendeel van de kwetsbaarheden is lokale toegang, gebruikersinteractie of voorafgaande toegangsrechten vereist.
Geen van de kwetsbaarheden is als kritiek aangemerkt. CVE-2026-87273 heeft met een CVSS-score van 8,6 de hoogste score en kan lokaal worden misbruikt waarbij gebruikersinteractie vereist is. Succesvolle exploitatie kan een hoge impact hebben op de vertrouwelijkheid, integriteit en beschikbaarheid van het getroffen systeem. CVE-2026-87277 heeft een CVSS-score van 7,5 en kan zonder authenticatie op afstand via RDP worden misbruikt. Succesvolle exploitatie kan leiden tot verstoring van de beschikbaarheid van het getroffen systeem.
Cisco heeft 21 kwetsbaarheden verholpen in Cisco Identity Services Engine (ISE) en Cisco ISE Passive Identity Connector (ISE-PIC). De kwetsbaarheden betreffen verschillende beveiligingsproblemen in Cisco ISE en ISE-PIC, waaronder mogelijkheden voor niet-geauthenticeerde en laaggeprivilegieerde kwaadwillenden om via netwerktoegang ongeautoriseerde acties uit te voeren. De kwetsbaarheden hebben CVSS-scores variërend van middel tot kritiek. Van de in totaal 21 kwetsbaarheden zijn 13 als kritiek aangemerkt. Op basis van de door Cisco gepubliceerde CVSS-scores kunnen vier kwetsbaarheden zonder authenticatie op afstand worden misbruikt. Succesvol misbruik kan onder meer leiden tot het omzeilen van authenticatie- en autorisatiecontroles, het verkrijgen en wijzigen van gevoelige configuratie- en identiteitsgegevens, het uitvoeren van willekeurige code of commando's met rootrechten, SQL-injectie, het uitlezen van bestanden en het verstoren van de beschikbaarheid van getroffen systemen. Sommige kwetsbaarheden vereisen voorafgaande administratieve toegangsrechten of een specifieke configuratie, terwijl andere volledig op afstand en zonder authenticatie kunnen worden misbruikt.
Van de 13 kwetsbaarheden die als kritiek zijn aangemerkt, hebben meerdere een CVSS-score van 9,8 of hoger. Vier kwetsbaarheden, CVE-2026-20130, CVE-2026-20192, CVE-2026-76423 en CVE-2026-76460, hebben een CVSS-score van 10,0.
De kwetsbaarheid met kenmerk CVE-2026-76423 betreft een kwetsbaarheid in de REST API waarmee een niet-geauthenticeerde kwaadwillende administratieve toegang kan verkrijgen tot Cisco ISE en ISE-PIC.
De kwetsbaarheid met kenmerk CVE-2026-76460 betreft een authenticatieomzeiling in een API van Cisco ISE en ISE-PIC waarmee een niet-geauthenticeerde kwaadwillende toegang tot het getroffen systeem kan verkrijgen. Cisco meldt dat deze kwetsbaarheid actief wordt misbruikt. Na succesvolle exploitatie kunnen kwaadwillenden volgens Cisco commando's met rootrechten uitvoeren.
De kwetsbaarheden met kenmerk CVE-2026-20130 en CVE-2026-20192 betreffen door Cisco gegroepeerde kwetsbaarheden op het gebied van respectievelijk onvoldoende neutralisatie van invoer en onjuiste toegangscontrole. Cisco heeft voor deze hardening-release meerdere onderliggende kwetsbaarheden per CWE-klasse onder één CVE-ID samengebracht. De CVSS-score vertegenwoordigt daarbij de hoogst scorende onderliggende kwetsbaarheid.
Het NCSC adviseert om de beveiligingsupdates voor de kritieke kwetsbaarheden met voorrang toe te passen.
Oracle heeft 16 kwetsbaarheden verholpen in diverse Oracle PeopleSoft-producten, waaronder PeopleSoft Enterprise PeopleTools, PeopleSoft Enterprise PRTL Interaction Hub en PeopleSoft Enterprise CC Common Application Objects. De kwetsbaarheden betreffen verschillende beveiligingsproblemen in Oracle PeopleSoft-producten, waaronder mogelijkheden voor niet-geauthenticeerde en laaggeprivilegieerde kwaadwillenden om via netwerktoegang ongeautoriseerde acties uit te voeren. De kwetsbaarheden hebben CVSS-scores in de categorie hoog. Van de in totaal 16 kwetsbaarheden kunnen volgens Oracle vier kwetsbaarheden zonder authenticatie op afstand worden misbruikt. Succesvol misbruik kan onder meer leiden tot het verkrijgen van ongeautoriseerde toegang tot gevoelige informatie, het wijzigen van gegevens, volledige overname van getroffen componenten en het verstoren van de beschikbaarheid van getroffen systemen. Sommige kwetsbaarheden vereisen gebruikersinteractie of voorafgaande toegangsrechten, terwijl andere volledig op afstand en zonder authenticatie kunnen worden misbruikt.
Geen van de kwetsbaarheden is als kritiek aangemerkt. CVE-2026-83017 heeft met een CVSS-score van 8,8 de hoogste score en bevindt zich in de Report Distribution-component van PeopleSoft Enterprise PeopleTools. Voor misbruik is een laaggeprivilegieerd account vereist. CVE-2026-73954 heeft een CVSS-score van 8,1 en bevindt zich in de Business Interlink-component van PeopleSoft Enterprise PeopleTools. Deze kwetsbaarheid kan zonder authenticatie op afstand via HTTP worden misbruikt en kan volgens Oracle leiden tot volledige overname van PeopleSoft Enterprise PeopleTools. Oracle kwalificeert de kwetsbaarheid echter als moeilijk te misbruiken.
Oracle heeft 3 kwetsbaarheden verholpen in Oracle Java SE, waaronder Oracle GraalVM for JDK en Oracle GraalVM Enterprise Edition. De kwetsbaarheden betreffen verschillende beveiligingsproblemen in Oracle Java SE-producten, waarbij niet-geauthenticeerde kwaadwillenden via netwerktoegang kwetsbaarheden in de Compiler-component kunnen misbruiken. De kwetsbaarheden hebben CVSS-scores in de categorie hoog. Alle drie de kwetsbaarheden kunnen volgens Oracle zonder authenticatie op afstand worden misbruikt. Succesvol misbruik kan onder meer leiden tot het verkrijgen van ongeautoriseerde toegang tot gevoelige informatie, het wijzigen van gegevens en het verstoren van de beschikbaarheid van getroffen systemen.
Geen van de kwetsbaarheden is als kritiek aangemerkt. CVE-2026-83357 en CVE-2026-83408 hebben met een CVSS-score van 8,1 de hoogste score en bevinden zich in de Compiler-component van Oracle GraalVM for JDK. Voor beide kwetsbaarheden is geen authenticatie of gebruikersinteractie vereist. Oracle geeft aan dat de kwetsbaarheden moeilijk te misbruiken zijn, maar dat succesvolle exploitatie kan leiden tot volledige overname van het getroffen product.
Oracle heeft 50 kwetsbaarheden verholpen in diverse Oracle Analytics-producten, waaronder Oracle Business Intelligence Enterprise Edition en Oracle BI Publisher. De kwetsbaarheden betreffen verschillende beveiligingsproblemen in Oracle Analytics-producten, waaronder mogelijkheden voor niet-geauthenticeerde en laaggeprivilegieerde kwaadwillenden om via netwerktoegang ongeautoriseerde acties uit te voeren. De kwetsbaarheden hebben CVSS-scores variërend van hoog tot kritiek. Van de in totaal 50 kwetsbaarheden zijn vier als kritiek aangemerkt en volgens Oracle kunnen acht kwetsbaarheden zonder authenticatie op afstand worden misbruikt. Succesvol misbruik kan onder meer leiden tot het verkrijgen van ongeautoriseerde toegang tot gevoelige informatie, het wijzigen of verwijderen van gegevens, volledige overname van getroffen componenten en het verstoren van de beschikbaarheid van getroffen systemen. Sommige kwetsbaarheden vereisen gebruikersinteractie of voorafgaande toegangsrechten, terwijl andere volledig op afstand en zonder authenticatie kunnen worden misbruikt.
Van de vier kwetsbaarheden die als kritiek zijn aangemerkt, hebben drie een CVSS-score van 9,8 of hoger. CVE-2026-83282 heeft een CVSS-score van 9,9 en bevindt zich in Platform Security van Oracle Business Intelligence Enterprise Edition. Voor misbruik is een laaggeprivilegieerd account vereist. CVE-2026-83269 en CVE-2026-83283 hebben een CVSS-score van 9,8 en bevinden zich respectievelijk in BI Platform Security van Oracle BI Publisher en Platform Security van Oracle Business Intelligence Enterprise Edition. Deze twee kwetsbaarheden kunnen volgens Oracle zonder authenticatie op afstand via HTTP worden misbruikt en kunnen volgens Oracle leiden tot volledige overname van het getroffen product. CVE-2026-83268 heeft een CVSS-score van 9,1 en vereist een hooggeprivilegieerd account.
Het NCSC adviseert om de beveiligingsupdates voor de kritieke kwetsbaarheden met voorrang toe te passen.
Oracle heeft 6 kwetsbaarheden verholpen in diverse Oracle Financial Services Applications-producten, waaronder Oracle Banking Branch, Oracle Banking Corporate Lending, Oracle Banking Origination, Oracle Banking Treasury Management en Oracle Banking Corporate Lending Process Management. De kwetsbaarheden betreffen verschillende beveiligingsproblemen in Oracle Financial Services Applications-producten, waaronder mogelijkheden voor niet-geauthenticeerde en laaggeprivilegieerde kwaadwillenden om via netwerktoegang ongeautoriseerde acties uit te voeren. De kwetsbaarheden hebben CVSS-scores in de categorie hoog. Van de in totaal 6 kwetsbaarheden kunnen volgens Oracle twee kwetsbaarheden zonder authenticatie op afstand worden misbruikt. Succesvol misbruik kan onder meer leiden tot het verkrijgen van ongeautoriseerde toegang tot gevoelige informatie, het wijzigen van gegevens en het verstoren van de beschikbaarheid van getroffen systemen. Sommige kwetsbaarheden vereisen gebruikersinteractie of voorafgaande toegangsrechten, terwijl andere zonder authenticatie via het netwerk kunnen worden misbruikt.
Geen van de kwetsbaarheden is als kritiek aangemerkt. De kwetsbaarheden met de hoogste CVSS-score van 8,0 bevinden zich in Oracle Banking Branch en Oracle Banking Corporate Lending. Succesvolle exploitatie kan, afhankelijk van de kwetsbaarheid, een hoge impact hebben op de vertrouwelijkheid, integriteit en beschikbaarheid van getroffen systemen.
Oracle heeft 7 kwetsbaarheden verholpen in diverse Oracle Enterprise Manager-producten, waaronder Oracle Enterprise Manager Base Platform, Oracle Enterprise Manager for Fusion Middleware en Oracle Enterprise Manager for Oracle Database. De beveiligingsupdates zijn niet van toepassing op client-only installaties waarop Oracle Enterprise Manager niet is geïnstalleerd. De kwetsbaarheden betreffen verschillende beveiligingsproblemen in Oracle Enterprise Manager-producten, waaronder mogelijkheden voor niet-geauthenticeerde en laaggeprivilegieerde kwaadwillenden om via netwerktoegang ongeautoriseerde acties uit te voeren. De kwetsbaarheden hebben CVSS-scores variërend van middel tot kritiek. Van de in totaal 7 kwetsbaarheden zijn drie als kritiek aangemerkt en volgens Oracle kunnen vijf kwetsbaarheden zonder authenticatie op afstand worden misbruikt. Succesvol misbruik kan onder meer leiden tot het verkrijgen van ongeautoriseerde toegang tot gevoelige informatie, het wijzigen van gegevens en het verstoren van de beschikbaarheid van getroffen systemen. Sommige kwetsbaarheden vereisen voorafgaande toegangsrechten, terwijl andere volledig op afstand en zonder authenticatie kunnen worden misbruikt.
De drie kwetsbaarheden die als kritiek zijn aangemerkt, CVE-2026-41635, CVE-2026-83355 en CVE-2026-2332, hebben een CVSS-score van 9,1 of hoger en bevinden zich in Agent Next Gen van Oracle Enterprise Manager Base Platform, Metrics van Oracle Enterprise Manager for Fusion Middleware en de Oracle Management Service (OMS) van Oracle Enterprise Manager Base Platform. Deze kwetsbaarheden kunnen volgens Oracle zonder authenticatie op afstand worden misbruikt, vereisen een lage aanvalscomplexiteit en geen gebruikersinteractie. Succesvolle exploitatie kan een hoge impact hebben op de vertrouwelijkheid en integriteit en,ook op de beschikbaarheid van getroffen systemen.
Het NCSC adviseert om de beveiligingsupdates voor de kritieke kwetsbaarheden met voorrang toe te passen.
Oracle heeft 159 kwetsbaarheden verholpen in diverse Oracle E-Business Suite-producten, waaronder Oracle Applications Framework, Oracle Document Management and Collaboration, Oracle Mobile Application Server, Oracle Alert, Oracle Application Object Library, Oracle Applications Manager, Oracle Bills of Material, Oracle Complex Maintenance, Repair and Overhaul, Oracle Contract Lifecycle Management for Public Sector, Oracle Contracts, Oracle Customer Interaction History, Oracle Demand Signal Repository, Oracle Depot Repair, Oracle Marketing, Oracle Product Hub, Oracle Purchasing, Oracle Report Manager, Oracle Sales Online, Oracle Spares Management, Oracle User Management, Oracle iStore, Oracle HRMS (India), Oracle iRecruitment, Oracle Product Workbench, Oracle Financials for Asia/Pacific, Oracle Engineering, Oracle CRM Technical Foundation, Oracle Financials Common Modules, Oracle Installed Base, Oracle One-to-One Fulfillment, Oracle Order Management, Oracle Project Intelligence, Oracle Work in Process, Oracle Advanced Benefits, Applications DBA, Enterprise Command Center Framework, Oracle Field Service, Oracle Proposals, Oracle Sales, Oracle Sales Offline, Oracle Web Applications Desktop Integrator, Oracle Quality, Oracle Sourcing, Oracle Common Applications, Oracle Lease and Finance Management, Oracle Common Applications Calendar, Oracle Partner Management, Oracle Site Hub, Oracle US Federal Human Resources, Oracle XML Gateway, Oracle HR Intelligence, Oracle Assets en Oracle Process Manufacturing Intelligence. De kwetsbaarheden betreffen verschillende beveiligingsproblemen in Oracle E-Business Suite-producten, waaronder mogelijkheden voor niet-geauthenticeerde en laaggeprivilegieerde kwaadwillenden om via netwerktoegang ongeautoriseerde acties uit te voeren. De kwetsbaarheden hebben CVSS-scores variërend van middel tot kritiek. Van de in totaal 159 kwetsbaarheden zijn drie als kritiek aangemerkt en volgens Oracle kunnen 19 kwetsbaarheden zonder authenticatie op afstand worden misbruikt. Succesvol misbruik kan onder meer leiden tot het verkrijgen van ongeautoriseerde toegang tot gevoelige informatie, het wijzigen of verwijderen van gegevens, volledige overname van getroffen componenten en het verstoren van de beschikbaarheid van getroffen systemen. Sommige kwetsbaarheden vereisen gebruikersinteractie of voorafgaande toegangsrechten, terwijl andere volledig op afstand en zonder authenticatie kunnen worden misbruikt.
De drie kwetsbaarheden die als kritiek zijn aangemerkt, CVE-2026-83327, CVE-2026-83452 en CVE-2026-83462, hebben een CVSS-score van 9,8 en bevinden zich respectievelijk in Oracle Applications Framework, Oracle Document Management and Collaboration en Oracle Mobile Application Server. Deze kwetsbaarheden kunnen zonder authenticatie op afstand worden misbruikt, vereisen een lage aanvalscomplexiteit en geen gebruikersinteractie. Succesvolle exploitatie kan leiden tot volledige overname van de getroffen component en heeft een hoge impact op de vertrouwelijkheid, integriteit en beschikbaarheid van getroffen systemen.
Het NCSC adviseert om de beveiligingsupdates voor de kritieke kwetsbaarheden met voorrang toe te passen.
Oracle heeft 31 kwetsbaarheden verholpen in diverse Oracle Communications-producten, waaronder Oracle Communications Unified Assurance, Oracle Communications Cloud Native Core Security Edge Protection Proxy, Oracle Communications MetaSolv Solution Module - ASR, Oracle Communications Service Catalog and Design en Oracle Communications Operations Monitor. De kwetsbaarheden betreffen verschillende beveiligingsproblemen in Oracle Communications-producten, waaronder mogelijkheden voor niet-geauthenticeerde en laaggeprivilegieerde kwaadwillenden om via netwerktoegang ongeautoriseerde acties uit te voeren. De kwetsbaarheden hebben CVSS-scores variërend van laag tot kritiek. Van de in totaal 31 kwetsbaarheden zijn vier als kritiek aangemerkt en kunnen 23 kwetsbaarheden zonder authenticatie op afstand worden misbruikt. Succesvol misbruik kan onder meer leiden tot het verkrijgen van ongeautoriseerde toegang tot gevoelige informatie, het wijzigen van gegevens en het verstoren van de beschikbaarheid van getroffen systemen. Sommige kwetsbaarheden vereisen gebruikersinteractie of voorafgaande toegangsrechten, terwijl andere volledig op afstand en zonder authenticatie kunnen worden misbruikt.
De vier kwetsbaarheden die als kritiek zijn aangemerkt, CVE-2026-44024, CVE-2026-17544, CVE-2026-71290 en CVE-2026-73194, hebben een CVSS-score van 9,1 of hoger en bevinden zich in verschillende Core-componenten van Oracle Communications Unified Assurance, waaronder Fluentd, PHP, Apache HttpClient en DBI. Deze kwetsbaarheden kunnen zonder authenticatie op afstand worden misbruikt en kunnen een hoge impact hebben op de vertrouwelijkheid en, afhankelijk van de kwetsbaarheid, de integriteit en beschikbaarheid van getroffen systemen.
Het NCSC adviseert om de beveiligingsupdates voor de kritieke kwetsbaarheden met voorrang toe te passen.
Oracle heeft 27 kwetsbaarheden verholpen in Commerce Platform, waaronder Oracle Commerce Guided Search en Oracle Commerce Experience Manager, waaronder de componenten Experience Manager, Forge en Endeca Application Controller. De kwetsbaarheden betreffen verschillende beveiligingsproblemen in Oracle Commerce-producten, waaronder mogelijkheden voor niet-geauthenticeerde en laaggeprivilegieerde kwaadwillenden om via netwerktoegang ongeautoriseerde acties uit te voeren. De kwetsbaarheden hebben CVSS-scores variërend van middel tot hoog. Van de in totaal 27 kwetsbaarheden kunnen volgens Oracle 16 kwetsbaarheden zonder authenticatie op afstand worden misbruikt. Succesvol misbruik kan onder meer leiden tot het verkrijgen van ongeautoriseerde toegang tot gevoelige informatie, het wijzigen van gegevens en het verstoren van de beschikbaarheid van getroffen systemen. Sommige kwetsbaarheden vereisen gebruikersinteractie of voorafgaande toegangsrechten, terwijl andere volledig op afstand en zonder authenticatie kunnen worden misbruikt.
De kwetsbaarheden met de hoogste CVSS-score van 8,2 bevinden zich in de componenten Experience Manager en Forge. Succesvolle exploitatie kan, afhankelijk van de kwetsbaarheid, een hoge impact hebben op de vertrouwelijkheid of beschikbaarheid en een beperkte impact op de integriteit van het getroffen systeem.
Het NCSC adviseert om de beveiligingsupdates met de hoogste CVSS-scores met voorrang toe te passen.
Oracle heeft 16 kwetsbaarheden verholpen in diverse Database producten, waaronder Database Server, Autonomous Health Framework en Application Testing Suite.
De kwetsbaarheden betreffen verschillende beveiligingsproblemen in Oracle-producten, waaronder mogelijkheden voor niet-geauthenticeerde en laaggeprivilegieerde kwaadwillenden om via netwerktoegang ongeautoriseerde acties uit te voeren. De kwetsbaarheden hebben CVSS-scores variërend van middel tot kritiek. Van de in totaal 16 kwetsbaarheden is één als kritiek aangemerkt en kunnen zes zonder authenticatie op afstand worden misbruikt. Succesvol misbruik kan onder meer leiden tot ongeautoriseerde toegang tot gevoelige informatie, het wijzigen van gegevens en het verstoren van de beschikbaarheid van getroffen systemen. Sommige kwetsbaarheden vereisen gebruikersinteractie of voorafgaande toegangsrechten, terwijl andere volledig op afstand en zonder authenticatie kunnen worden misbruikt.
De kritieke kwetsbaarheid, CVE-2026-83149, heeft een CVSS-score van 9,1 en bevindt zich in Test Manager for Web Apps van Oracle Application Testing Suite. Volgens Oracle is een laaggeprivilegieerd account voor misbruik vereist en is geen gebruikersinteractie nodig. Succesvolle exploitatie kan een hoge impact hebben op de vertrouwelijkheid en een beperkte impact op de integriteit en beschikbaarheid van het getroffen systeem.
Het NCSC adviseert om de beveiligingsupdate voor de kritieke kwetsbaarheid met voorrang toe te passen.
Oracle heeft 153 kwetsbaarheden verholpen in diverse Oracle Fusion Middleware-producten, waaronder Helidon, Oracle Access Manager, Oracle Coherence, Oracle Data Integrator, Oracle Forms, Oracle Fusion Middleware Control, Oracle Identity Manager, Oracle Identity Manager Connector, Oracle Internet Directory, Oracle JDeveloper, Oracle Managed File Transfer, Oracle Middleware Common Libraries and Tools, Oracle Platform Security for Java, Oracle Web Services Manager, Oracle WebCenter Content, Oracle WebCenter Enterprise Capture, Oracle WebCenter Portal, Oracle WebCenter Sites, Oracle WebLogic Server en Service Delivery Platform. De kwetsbaarheden betreffen verschillende beveiligingsproblemen in Oracle-producten, waaronder mogelijkheden voor niet-geauthenticeerde en laaggeprivilegieerde kwaadwillenden om via netwerktoegang ongeautoriseerde acties uit te voeren. De kwetsbaarheden hebben CVSS-scores variërend van laag tot kritiek. Van de in totaal 153 kwetsbaarheden zijn 66 als kritiek aangemerkt en volgens Oracle kunnen 78 kwetsbaarheden zonder authenticatie op afstand worden misbruikt.
Succesvol misbruik kan onder meer leiden tot het uitvoeren van willekeurige code, het omzeilen van authenticatie- en autorisatiecontroles, het verkrijgen van ongeautoriseerde toegang tot gevoelige informatie, het wijzigen of verwijderen van gegevens en het veroorzaken van Denial-of-Service (DoS). Sommige kwetsbaarheden vereisen gebruikersinteractie of voorafgaande toegangsrechten, terwijl andere volledig op afstand en zonder authenticatie kunnen worden misbruikt.
Van de 66 kwetsbaarheden die als kritiek zijn aangemerkt, hebben meerdere een CVSS-score van 9,8 of hoger. Vijf kwetsbaarheden, CVE-2026-71133, CVE-2026-83099, CVE-2026-83059, CVE-2026-83020 en CVE-2026-83021, hebben een CVSS-score van 10,0 en bevinden zich in Oracle Access Manager, Oracle Forms, Oracle Internet Directory, Oracle Platform Security for Java en Oracle WebLogic Server. Deze kwetsbaarheden kunnen volgens Oracle zonder authenticatie op afstand worden misbruikt en kunnen een hoge impact hebben op de vertrouwelijkheid, integriteit en beschikbaarheid van getroffen systemen.
Het NCSC adviseert om de beveiligingsupdates voor de kritieke kwetsbaarheden met voorrang toe te passen.
Apple heeft meerdere kwetsbaarheden verholpen in macOS (Specifiek voor Golden Gate 27, Sequoia 15.8, Tahoe 26.7). De kwetsbaarheden in macOS betreffen onder andere heap-based buffer overflows, use-after-free fouten, integer overflows, null pointer dereferences, onjuiste toegangscontrole, privilege escalatie, race conditions, out-of-bounds reads en writes, loggingsproblemen, en problemen met state management. Deze kunnen leiden tot onverwachte systeem- of applicatie-terminaties, kernel geheugen corruptie, ongeautoriseerde toegang tot gevoelige gebruikersdata, omzeilen van sandbox- en Gatekeeper-beveiligingen, en het mogelijk maken van remote code execution of denial-of-service.
Apple heeft meerdere kwetsbaarheden verholpen in iOS en iPadOS. De kwetsbaarheden betreffen diverse beveiligingsproblemen zoals authenticatiefouten, out-of-bounds schrijf- en leesfouten, use-after-free, buffer overflows, race conditions, permissie- en autorisatieproblemen, geheugenbeschadiging, informatielekken, logica- en validatiefouten, en privacy-gerelateerde zwakheden. Aanvallers kunnen deze kwetsbaarheden misbruiken om ongeautoriseerde toegang te verkrijgen tot gebruikersgegevens, systeeminstabiliteit te veroorzaken door onverwachte systeem- of applicatieafsluitingen, kernelgeheugen te lezen of te beschadigen, privileges te escaleren, sandbox-beperkingen te omzeilen, en netwerkverkeer te manipuleren. Sommige kwetsbaarheden kunnen leiden tot het uitlekken van gevoelige informatie zoals Wi-Fi-wachtwoorden, apparaatidentificatoren, en gebruikerslocaties. De problemen zijn aanwezig in kerncomponenten van de besturingssystemen en diverse subsysteemfuncties zoals bestandshandling, geheugenbeheer, authenticatieprocessen, en webcontentverwerking. De fixes zijn doorgevoerd via verbeterde validatie, strengere toegangscontroles, verbeterde geheugen- en state management, en het verwijderen van kwetsbare code.
Palo Alto Networks heeft een kwetsbaarheid verholpen in PAN-OS software, specifiek voor VM-Series en PA-Series firewalls, evenals Panorama management software. De kwetsbaarheid betreft een buffer overflow in de XML-verwerkingsfunctionaliteit van PAN-OS. Ongeauthenticeerde aanvallers met netwerktoegang kunnen hierdoor een denial-of-service veroorzaken op VM-Series firewalls of willekeurige code uitvoeren met rootrechten op PA-Series firewalls. Ook Panorama management software is getroffen. De kwetsbaarheid ontstaat door onjuiste verwerking van XML-invoer, wat leidt tot geheugenbeschadiging en mogelijk volledige systeemcompromittering.
Cisco heeft een kwetsbaarheid verholpen in Cisco Secure Email Gateway. De kwetsbaarheid bevindt zich in de verwerking van e-mailberichten binnen Cisco AsyncOS Software voor Cisco Secure Email Gateway en wordt veroorzaakt door onvoldoende validatie van inkomende e-mailberichten. Een niet-geauthenticeerde kwaadwillende kan een speciaal vervaardigd e-mailbericht met kwaadaardige SQL-instructies naar een kwetsbaar systeem versturen. Succesvol misbruik kan leiden tot het uitvoeren van willekeurige SQL-instructies en vervolgens tot het uitvoeren van willekeurige commando’s met root-rechten op het onderliggende besturingssysteem.
Cisco meldt dat succesvolle exploitatie van deze kwetsbaarheid is waargenomen. Hoewel Cisco niet heeft vermeld op welke wijze de kwetsbaarheid wordt geëxploiteerd, raadt het NCSC dringend aan om de beveiligingsupdate zo snel mogelijk toe te passen en kwetsbare systemen te controleren op aanwijzingen van misbruik. Raadpleeg de advisory van Cisco voor IoC's en aanvullende informatie.
Microsoft heeft 4 kwetsbaarheden verholpen in diverse Azure componenten. Een kwaadwillende kan de kwetsbaarheden misbruiken om aanvallen uit te voeren die kunnen leiden tot de categorieën schade, zoals genoemd in onderstaande tabel.
De kwetsbaarheid met kenmerk CVE-2026-69854 heeft een CVSS-score van 9,0. Een kwaadwillende die al over een geldige sessie beschikt, kan de kwetsbaarheid onder specifieke voorwaarden, zoals bepaalde protocolinstellingen of configuraties, misbruiken om zijn rechten binnen de applicatie te verhogen. Hierdoor kan de kwaadwillende toegang krijgen tot afgeschermde functionaliteiten of gegevens.
De kwetsbaarheid met kenmerk CVE-2026-62895 heeft een CVSS-score van 8,8. Een kwaadwillende kan een speciaal geprepareerde website hosten en een gebruiker ertoe verleiden deze te bezoeken. Vervolgens kan de kwaadwillende via verzoeken aan een kwetsbare lokaal draaiende service opdrachten uitvoeren met verhoogde rechten. Voor misbruik is geen authenticatie vereist, maar gebruikersinteractie is wel vereist. Succesvol misbruik kan leiden tot het verkrijgen van SYSTEM-rechten.
De kwetsbaarheid met kenmerk CVE-2026-77909 heeft een CVSS-score van 7,7. De kwetsbaarheid betreft onvoldoende beveiligde inloggegevens in Azure CycleCloud. Een geauthenticeerde kwaadwillende kan deze kwetsbaarheid via het netwerk misbruiken om informatie, waaronder inloggegevens, te verkrijgen.
```
Spring Cloud Azure:
|----------------|------|-------------------------------------|
| CVE-ID | CVSS | Impact |
|----------------|------|-------------------------------------|
| CVE-2026-69854 | 9,00 | Verkrijgen van verhoogde rechten |
|----------------|------|-------------------------------------|
Azure Arc:
|----------------|------|-------------------------------------|
| CVE-ID | CVSS | Impact |
|----------------|------|-------------------------------------|
| CVE-2026-62895 | 8,80 | Verkrijgen van verhoogde rechten |
|----------------|------|-------------------------------------|
Azure CycleCloud:
|----------------|------|-------------------------------------|
| CVE-ID | CVSS | Impact |
|----------------|------|-------------------------------------|
| CVE-2026-77909 | 7,70 | Toegang tot gevoelige gegevens |
|----------------|------|-------------------------------------|
```
