Niedrig16 / 100Konfidenz: Mittel

CVSS8.8EPSS2 %Über Netz erreichbarOhne Zutun des Nutzers

Installieren Sie umgehend die vom Hersteller bereitgestellten Sicherheitsupdates für Oracle Enterprise Manager for Virtualization und Oracle VM VirtualBox.

Hoechster CVSS-Basiswert 8.8+16

Bewertung v1.2, deterministisch berechnet. Bedrohungswert und Konfidenz sind getrennte Größen.· 2026-10-26 00:00 UTCMethodik

Multiples vulnérabilités dans Oracle Virtualization (21 octobre 2026)

CERT-FR·21. Oktober 2026, 00:00

Originalartikel lesen bei CERT-FR

In Oracle Virtualization wurden mehrere Schwachstellen entdeckt, die Angreifern Fernzugriff für Code-Ausführung, Denial-of-Service und Datenvertraulichkeitsverletzungen ermöglichen. Betroffen sind Oracle Enterprise Manager for Virtualization 13.5 sowie Oracle VM VirtualBox 7.2.16 und 7.2.20. Nutzer sollten umgehend die vom Hersteller bereitgestellten Sicherheitsupdates installieren.

SecBoard-Einordnung

Diese Schwachstellen können von Angreifern aus der Ferne ausgenutzt werden, um die Kontrolle über virtuelle Umgebungen zu erlangen, Dienste zu unterbrechen oder sensible Daten zu kompromittieren.

Realistisch schlimmster Fall: Der schlimmste Fall ist die vollständige Kompromittierung von Virtualisierungsumgebungen, was zu unbefugter Code-Ausführung, Systemausfällen und weitreichenden Datenlecks führen kann.

Im erfassten Bestand

▸CVE-2025-48734 kommt damit in 4 erfassten Meldungen der letzten 90 Tage vor.

Gezählt im eigenen Bestand, rückwärts ab dem Erscheinungsdatum. Das ist Belegstärke, keine Aussage über die Häufigkeit in der Welt.

Key Facts

CVE-2025-48734

CVSS: 8.8 · HIGH
EPSS: 2.0%
Über das Netz: ja
Anmeldung nötig: ja
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Vertraulichkeit, Integrität, Verfügbarkeit
Patch: unbekannt
Zuweisende CNA: security@apache.org

CVE-2026-87322

CVSS: 8.4 · HIGH
EPSS: 0.2%
Über das Netz: nein
Anmeldung nötig: ja
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Vertraulichkeit, Integrität, Verfügbarkeit
Patch: unbekannt
Zuweisende CNA: secalert_us@oracle.com

CVE-2026-87301

CVSS: 8.4 · HIGH
EPSS: 0.1%
Über das Netz: nein
Anmeldung nötig: ja
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Vertraulichkeit, Verfügbarkeit
Patch: unbekannt
Zuweisende CNA: secalert_us@oracle.com

CVE-2026-101598

CVSS: 7.8 · HIGH
EPSS: 0.1%
Über das Netz: nein
Anmeldung nötig: ja
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Vertraulichkeit, Integrität, Verfügbarkeit
Patch: unbekannt
Zuweisende CNA: secalert_us@oracle.com

CVE-2026-101599

CVSS: 7.5 · HIGH
EPSS: 0.1%
Über das Netz: nein
Anmeldung nötig: ja
Nutzerinteraktion nötig: ja
Angriffskomplexität: hoch
Beeinträchtigt: Vertraulichkeit, Integrität, Verfügbarkeit
Patch: unbekannt
Zuweisende CNA: secalert_us@oracle.com

CVE-2026-87303

CVSS: 5.9 · MEDIUM
EPSS: 0.1%
Über das Netz: nein
Anmeldung nötig: ja
Nutzerinteraktion nötig: ja
Angriffskomplexität: niedrig
Beeinträchtigt: Verfügbarkeit
Patch: unbekannt
Zuweisende CNA: secalert_us@oracle.com

CVE-2026-87311

CVSS: 5.6 · MEDIUM
EPSS: 0.1%
Über das Netz: nein
Anmeldung nötig: ja
Nutzerinteraktion nötig: nein
Angriffskomplexität: hoch
Beeinträchtigt: Verfügbarkeit
Patch: unbekannt
Zuweisende CNA: secalert_us@oracle.com

Betroffen

Organisationen, die Oracle Enterprise Manager for Virtualization 13.5 oder Oracle VM VirtualBox 7.2.16 und 7.2.20 einsetzen.

Hersteller

Apache

Produkte

Commons Beanutils

▸ CPE-Rohbezeichner anzeigen (2)

cpe:2.3:a:apache:commons_beanutils:*:*:*:*:*:*:*:*
cpe:2.3:a:apache:commons_beanutils:2.0.0:milestone1:*:*:*:*:*:*

Prüfen

▸Überprüfen Sie die Versionen von Oracle Enterprise Manager for Virtualization und Oracle VM VirtualBox in Ihrer Umgebung.
▸Stellen Sie sicher, dass alle Oracle Virtualization-Instanzen auf die neuesten, gepatchten Versionen aktualisiert wurden.

▸ 1 weitere

▸Überwachen Sie Netzwerkverkehr und Systemprotokolle auf ungewöhnliche Aktivitäten, die auf eine Ausnutzung der Schwachstellen hindeuten könnten.

Offene Punkte

▸ anzeigen

▸Spezifische CVE-IDs der Schwachstellen sind nicht im Artikel genannt.
▸Details zu den genauen Auswirkungen der Datenvertraulichkeitsverletzungen sind nicht spezifiziert.
▸Es werden keine spezifischen Angreifergruppen oder Kampagnen erwähnt, die diese Schwachstellen aktiv ausnutzen.

Red-Team-Relevanz

Was heißt das für dein nächstes Assessment?

▸ Einordnung anzeigen

Initial Access möglich?Unklar
Privilege Escalation relevant?Unklar
Exploit öffentlich verfügbar?Möglich
Detection / Logging prüfbar?Möglich
Für Purple-Team-Szenario geeignet?Unklar

Kundenfragen

Haben wir Oracle extern erreichbar?

MITRE ATT&CK(4)

Techniken aus allen Quellen zusammengeführt — nach Stärke des Belegs sortiert.

T1041Exfiltration Over C2 Channelzugeordnet

„Datenvertraulichkeitsverletzungen“

T1059Command and Scripting Interpreterzugeordnet

„Fernzugriff für Code-Ausführung“

T1190Exploit Public-Facing Applicationzugeordnet

„Angreifern Fernzugriff für Code-Ausführung“

T1499Denial of Servicezugeordnet

„Denial-of-Service“

Mehrere Herkünfte bei derselben Technik heißt: mehrere unabhängige Wege führen dorthin.

Verlauf der Belege

Wann welche Quelle den Vorgang zuerst berichtet hat — nicht der Ablauf des Angriffs selbst.

19. Okt.CERT-FRKontext
Multiples vulnérabilités dans Juniper Networks Session Smart Router (19 octobre 2026)
23. Okt.The Hacker NewsKontext
URGENT - PHP Warns of Another Unpatched RCE Two Days After Emergency PHP2Shell Patches

Der Vorgang wird seit 4 Tagen berichtet.

Quellen & Belege· 2 unterschiedliche Quellen

The Hacker NewsKontextPUBLICZuverlässigkeit C

Redaktionelle Berichterstattung, meist Zweitverwertung einer Primaerquelle.

URGENT - PHP Warns of Another Unpatched RCE Two Days After Emergency PHP2Shell Patches

CERT-FRKontextUNKNOWNdiese Meldung

Quelle nicht eingeordnet.

Ausschliesslich redaktionelle Berichterstattung, keine Primaer- oder Technikquelle im Bestand.
Mindestens eine Quelle ist noch nicht nach Herkunftsklasse eingeordnet.
Unabhaengigkeit meint den Herausgeber. Zwei Haeuser, die dieselbe Herstellermeldung nacherzaehlen, gelten hier weiter als zwei Belege.

Verknüpfte Intelligence

Dieselben Entitäten an anderer Stelle auf SecBoard.

CVE-Profile

CVE-2025-48734 CVE-2026-87322 CVE-2026-87301 CVE-2026-101598 CVE-2026-101599 CVE-2026-87303 CVE-2026-87311

Vollständigen Artikel lesen bei CERT-FR

Erwähnte CVEs (7)

CVE-2025-48734HIGH(8.8)

EPSS 2.0%

Improper Access Control vulnerability in Apache Commons. A special BeanIntrospector class was added in version 1.9.2. This can be used to stop attackers from using the declared class property of Java enum objects to get access to the classloader. However this protection was not enabled by default. PropertyUtilsBean (and consequently BeanUtilsBean) now disallows declared class level property access by default. Releases 1.11.0 and 2.0.0-M2 address a potential security issue when accessing enum properties in an uncontrolled way. If an application using Commons BeanUtils passes property paths from an external source directly to the getProperty() method of PropertyUtilsBean, an attacker can access the enum’s class loader via the “declaredClass” property available on all Java “enum” objects. Accessing the enum’s “declaredClass” allows remote attackers to access the ClassLoader and execute arbitrary code. The same issue exists with PropertyUtilsBean.getNestedProperty(). Starting in versions 1.11.0 and 2.0.0-M2 a special BeanIntrospector suppresses the “declaredClass” property. Note that this new BeanIntrospector is enabled by default, but you can disable it to regain the old behavior; see section 2.5 of the user's guide and the unit tests. This issue affects Apache Commons BeanUtils 1.x before 1.11.0, and 2.x before 2.0.0-M2.Users of the artifact commons-beanutils:commons-beanutils 1.x are recommended to upgrade to version 1.11.0, which fixes the issue. Users of the artifact org.apache.commons:commons-beanutils2 2.x are recommended to upgrade to version 2.0.0-M2, which fixes the issue.

Details NVD

CVE-2026-87322HIGH(8.4)

EPSS 0.2%

Vulnerability in the Oracle VM VirtualBox product of Oracle Virtualization (component: Core). The supported version that is affected is 7.2.20. Easily exploitable vulnerability allows high privileged attacker with access to the physical communication segment attached to the hardware where the Oracle VM VirtualBox executes to compromise Oracle VM VirtualBox. While the vulnerability is in Oracle VM VirtualBox, attacks may significantly impact additional products (scope change). Successful attacks of this vulnerability can result in takeover of Oracle VM VirtualBox. CVSS 3.1 Base Score 8.4 (Confidentiality, Integrity and Availability impacts). CVSS Vector: (CVSS:3.1/AV:A/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H).

Details NVD

CVE-2026-87301HIGH(8.4)

EPSS 0.1%

Vulnerability in the Oracle VM VirtualBox product of Oracle Virtualization (component: Core). The supported version that is affected is 7.2.16. Easily exploitable vulnerability allows low privileged attacker with logon to the infrastructure where Oracle VM VirtualBox executes to compromise Oracle VM VirtualBox. While the vulnerability is in Oracle VM VirtualBox, attacks may significantly impact additional products (scope change). Successful attacks of this vulnerability can result in unauthorized access to critical data or complete access to all Oracle VM VirtualBox accessible data and unauthorized ability to cause a hang or frequently repeatable crash (complete DOS) of Oracle VM VirtualBox. CVSS 3.1 Base Score 8.4 (Confidentiality and Availability impacts). CVSS Vector: (CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:C/C:H/I:N/A:H).

Details NVD

CVE-2026-101598HIGH(7.8)

EPSS 0.1%

Vulnerability in the Oracle VM VirtualBox product of Oracle Virtualization (component: Core). The supported version that is affected is 7.2.20. Easily exploitable vulnerability allows low privileged attacker with logon to the infrastructure where Oracle VM VirtualBox executes to compromise Oracle VM VirtualBox. Successful attacks of this vulnerability can result in takeover of Oracle VM VirtualBox. CVSS 3.1 Base Score 7.8 (Confidentiality, Integrity and Availability impacts). CVSS Vector: (CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H).

Details NVD

CVE-2026-101599HIGH(7.5)

EPSS 0.1%

Vulnerability in the Oracle VM VirtualBox product of Oracle Virtualization (component: Core). The supported version that is affected is 7.2.20. Difficult to exploit vulnerability allows low privileged attacker with logon to the infrastructure where Oracle VM VirtualBox executes to compromise Oracle VM VirtualBox. Successful attacks require human interaction from a person other than the attacker and while the vulnerability is in Oracle VM VirtualBox, attacks may significantly impact additional products (scope change). Successful attacks of this vulnerability can result in takeover of Oracle VM VirtualBox. CVSS 3.1 Base Score 7.5 (Confidentiality, Integrity and Availability impacts). CVSS Vector: (CVSS:3.1/AV:L/AC:H/PR:L/UI:R/S:C/C:H/I:H/A:H).

Details NVD

CVE-2026-87303MEDIUM(5.9)

EPSS 0.1%

Vulnerability in the Oracle VM VirtualBox product of Oracle Virtualization (component: Core). The supported version that is affected is 7.2.16. Easily exploitable vulnerability allows low privileged attacker with logon to the infrastructure where Oracle VM VirtualBox executes to compromise Oracle VM VirtualBox. Successful attacks require human interaction from a person other than the attacker and while the vulnerability is in Oracle VM VirtualBox, attacks may significantly impact additional products (scope change). Successful attacks of this vulnerability can result in unauthorized ability to cause a hang or frequently repeatable crash (complete DOS) of Oracle VM VirtualBox. CVSS 3.1 Base Score 5.9 (Availability impacts). CVSS Vector: (CVSS:3.1/AV:L/AC:L/PR:L/UI:R/S:C/C:N/I:N/A:H).

Details NVD

CVE-2026-87311MEDIUM(5.6)

EPSS 0.1%

Vulnerability in the Oracle VM VirtualBox product of Oracle Virtualization (component: Core). The supported version that is affected is 7.2.16. Difficult to exploit vulnerability allows low privileged attacker with logon to the infrastructure where Oracle VM VirtualBox executes to compromise Oracle VM VirtualBox. While the vulnerability is in Oracle VM VirtualBox, attacks may significantly impact additional products (scope change). Successful attacks of this vulnerability can result in unauthorized ability to cause a hang or frequently repeatable crash (complete DOS) of Oracle VM VirtualBox. CVSS 3.1 Base Score 5.6 (Availability impacts). CVSS Vector: (CVSS:3.1/AV:L/AC:H/PR:L/UI:N/S:C/C:N/I:N/A:H).

Details NVD