מעקב מקצועי אחר CVEs חדשים מ-NVD ומקטלוג ה-KEV של CISA, עם סיכומי AI בעברית והתראות מותאמות לפתרונות וטכנולוגיות של הארגון שלכם.
CVE-2026-71456 בחומרת CVSS 8.5 היא חולשת מפתח הצפנה קשיח ב-Johnson Controls Kantech Entrapass בגרסאות שלפני 9.20, המאפשרת Padding Oracle Attack ועלולה לפגוע בסודיות מידע במערכת בקרת הכניסה הפיזית; לא ידוע על ניצול בפועל. מומלץ לתעדף שדרוג לגרסה 9.20 ומעלה, ובינתיים לצמצם גישה למערכת לגורמים מורשים ולנטר פעילות חריגה.
חולשת CVE-2026-115908 בספריית zip ל-Rust בגרסאות 7.2.0 ועד לפני 9.0.0 מאפשרת לקובץ ZIP זדוני לעקוף את גבולות תיקיית החילוץ באמצעות symlinks וליצור או לדרוס קבצים מחוצה לה בהרשאות התהליך המחלץ, תוך סיכון לשלמות הנתונים ולזמינות השירותים. מומלץ לשדרג לגרסה 9.0.0 ומעלה, ועד אז להימנע מחילוץ ZIP ממקורות לא מהימנים ולהפעיל תהליכי חילוץ בהרשאות מינימליות ובסביבה מבודדת; לא ידוע על ניצול החולשה בפועל.
חולשת SQL injection במודול @aws-cdk/aws-redshift-alpha של AWS CDK בגרסאות הקודמות ל-2.274.0-alpha.0 מאפשרת לגורם המסוגל להשפיע על ערכי מאפייני construct להריץ פקודות SQL בהרשאות superuser ב-Amazon Redshift, ובכך לחשוף מידע עסקי ולאפשר גישה בלתי מורשית לכל משתמשי הקלאסטר. לא ידוע על ניצול החולשה; מומלץ לשדרג לגרסה 2.274.0-alpha.0 ומעלה ולבחון הרשאות קיימות לטבלאות שהוענקו ל-PUBLIC ולצמצמן לפי הצורך.
חולשת Bucket Squatting מסוג CVE-2026-85297 ב-Google Cloud Run MCP בגרסאות הקודמות ל-1.11.0, בדירוג CVSS 7.7, מאפשרת לתוקף ליירט קוד מקור קנייני, להריץ קוד שרירותי ולהדליף נתונים, תוך סיכון לקניין הרוחני ולסודיות המידע העסקי. לא ידוע על ניצול החולשה בפועל, ומומלץ לשדרג בהקדם לגרסה 1.11.0 ומעלה.
CVE-2026-115748 היא חולשת Authorization bypass בכל גרסאות Apache Vysper, הנובעת מבדיקת אימות חסרה במימוש XEP-0077 ומאפשרת למשתמש מאומת להשתלט על חשבונות אחרים, תוך סיכון לסודיות המידע ולשלמותו; לא ידוע על ניצול בפועל. מאחר שהפרויקט הוצא משימוש ולא צפוי תיקון, מומלץ לתעדף מעבר לחלופה נתמכת ולצמצם בינתיים את החשיפה לשירות.
חולשת CVE-2026-115721 ב-Apache Vysper, ספריית שרת XMPP, מאפשרת הקצאת זיכרון בלתי מוגבלת בעת פענוח XML בכל הגרסאות ועלולה לגרום למיצוי זיכרון ולהשבתת שירותים עסקיים התלויים בה; חומרתה CVSS 7.5 ולא ידוע על ניצול בפועל. הפרויקט אינו נתמך ולא צפוי תיקון, ולכן מומלץ לאתר שימוש בו ולתעדף מעבר לחלופה נתמכת, ובינתיים לצמצם חשיפה ולהחיל מגבלות משאבים לצמצום ההשפעה.
חולשת Path Traversal ב-Syncplify Server! בגרסאות הקודמות ל-8.8.0 מאפשרת לתוקף שהצליח להציב symlink או directory junction בתיקיית הבית של משתמש לחרוג מגבולות ה-virtual filesystem ולגשת לקבצים מוגבלים, תוך סיכון לחשיפת מידע עסקי רגיש. לא ידוע על ניצול בפועל; מומלץ לשדרג לגרסה 8.8.0 ומעלה, להגביל יצירת קישורים אלה ולבדוק קישורים קיימים המפנים מחוץ לתיקיות המורשות.
חולשת CVE-2026-93328 ב-Google Cloud MCP Toolbox for Databases בגרסאות 1.2.0–1.4.0, בדירוג CVSS 9.3, משלבת Path Traversal והיעדר בדיקת הרשאות במקור cloud-storage ומאפשרת לתוקף מרוחק ללא הזדהות להדליף קבצים מהמארח ל-Google Cloud Storage buckets חיצוניים ולדרוס קבצים מקומיים, תוך סיכון לחשיפת מידע רגיש ולשיבוש פעילות עסקית. לא ידוע על ניצול בפועל; מומלץ לאתר מופעים פגיעים, לעדכן לגרסה מתוקנת כשזו זמינה, ובינתיים להשבית את המקור הפגיע או להגביל את הגישה אליו ולבדוק סימנים להעברות מידע ולשינויי קבצים חריגים.
חולשת XXE (CVE-2026-90885, CVSS 7.5) ברכיב camel-saxon של Apache Camel מאפשרת לתוקף חיצוני, כאשר XML לא מהימן מועבר ל-XQuery כ-Source המחייב פענוח, לקרוא קבצים בהרשאות התהליך ולבצע SSRF, תוך סיכון לדליפת מידע ולגישה למשאבים פנימיים; לא ידוע על ניצול בפועל. מומלץ לשדרג ל-4.23.0 או לגרסאות המתוקנות 4.22.2 ו-4.18.5 במסלולים המתאימים, ולעבור מגרסאות EOL למסלול נתמך; עד לשדרוג יש למנוע עיבוד XQuery של Source ממקור לא מהימן או להגדיר Saxon Configuration החוסמת DOCTYPE, external entities וטעינת external DTD.
חולשת מפתח AES קבוע המוטמע באפליקציית TTLock ל-Android בגרסאות שלפני v9.8.260718 ובקושחת המנעולים המשויכת מאפשרת לתוקף בטווח Bluetooth לצותת לתהליך BLE pairing, לשחזר מפתח גישה ולזייף פקודות לפתיחת מנעולים, הוספת אמצעי גישה ופעולות ניהול, תוך סיכון לחדירה פיזית בלתי מורשית; לא ידוע על ניצול בפועל. מומלץ לעדכן את האפליקציה לגרסה מתוקנת ואת הקושחה בהתאם להנחיות היצרן, להגביל ביצוע pairing לסביבה מבוקרת ולבחון החלפת מפתחות גישה לאחר התיקון.
CVE-2026-115188 ב-Mautic 7 היא חולשת Unrestricted File Upload בחומרה קריטית (CVSS 9.9), המאפשרת למשתמש מאומת בעל הרשאת ייבוא קמפיינים, ללא הרשאות מנהל, להעלות קבצים שרירותיים ובתצורות Apache מסוימות להריץ קוד מרחוק, תוך סיכון לחשיפת סודות המערכת ונתוני אנשי קשר. לא ידוע על ניצול בפועל; מומלץ להתקין תיקון ספק כשיהיה זמין, ובינתיים להגביל את הרשאות ייבוא הקמפיינים או להשבית את היכולת, ולמנוע הרצת סקריפטים וטעינת הגדרות מקומיות בספריית המדיה.
חולשת עקיפת אימות קריטית ב-Fortinet FortiSandbox וב-FortiSandbox PaaS (CVE-2026-107656, CVSS 9.8) מאפשרת לתוקף להריץ קוד או פקודות ללא הרשאה באמצעות בקשות HTTP ייעודיות, ומסכנת את סודיות המידע ואת רציפות פעילות מערך ניתוח הנוזקות. אף שלא ידוע על ניצול, מומלץ לזהות מיידית מופעים בגרסאות הפגיעות, להחיל עדכוני אבטחה בהתאם להנחיות Fortinet, ועד להשלמתם להגביל גישת HTTP למערכות לגורמים מורשים בלבד.
חולשת עקיפת אימות ב-Snipe-IT בגרסאות שלפני 8.6.3 מאפשרת למשתמשים מושבתים, ששם המשתמש שלהם תואם לכתובת הדוא״ל של זהות Google פעילה, להתחבר דרך Google SSO בהרשאותיהם המקוריות, לרבות admin, ובכך לעקוף תהליכי ביטול גישה ולסכן מידע וניהול נכסים. מומלץ לשדרג ל-8.6.3 ומעלה, לוודא ביטול גישה גם ברמת ספק הזהויות ולבדוק התחברויות של חשבונות מושבתים; לא ידוע על ניצול בפועל.
חולשת CVE-2026-116171 ב-SiYuan ב-Windows, מגרסה 3.5.4 ועד לפני 3.8.7, מאפשרת למשתמש API מאומת לעקוף את בדיקת IsSensitivePath ולחשוף קובצי תצורה, לרבות API token ומפתחות TLS פרטיים, לגישה ללא אימות — בסיכון לגישה בלתי מורשית ולפגיעה בסודיות המידע. לא ידוע על ניצול בפועל; מומלץ לשדרג לגרסה 3.8.7 ומעלה, להגביל גישה ל-API ולבדוק חשיפה של קבצים רגישים, ובמקרה של חשיפה להחליף את הסודות שנפגעו.
חולשה קריטית ברכיב JSSE במוצרי Oracle Java SE, Oracle GraalVM for JDK ו-Oracle GraalVM Enterprise Edition מאפשרת לתוקף מרוחק ללא אימות לקרוא, לשנות או למחוק מידע נגיש ליישום, ובכך מסכנת את סודיות המידע העסקי ושלמותו. אף שלא ידוע על ניצול בפועל, מומלץ לתעדף מיפוי ושדרוג של הגרסאות הפגיעות בהתאם להנחיות Oracle, ובינתיים לצמצם חשיפה של שירותים המעבירים קלט לא מהימן ל-APIs של JSSE ולהימנע מהרצת קוד לא מהימן בסביבות Java sandbox.
חולשת בקרת גישה CVE-2026-115975 ב-JiraController של Cervantes v1.3-beta, בדירוג CVSS 7.1, עלולה לאפשר לתוקף ליצור, לערוך או למחוק כרטיסי Jira של חולשות בפרויקטים אחרים, ובכך לשבש את ניהול החולשות ואת תהליכי התיקון; לא ידוע על ניצול בפועל. מומלץ לבדוק חשיפה בגרסה זו, להחיל תיקון ספק כשיהיה זמין, ובינתיים להגביל גישה לאינטגרציית Jira ולנטר שינויים חריגים בכרטיסים בין פרויקטים.
חולשת CVE-2026-99083 ב־ksmbd של Linux Kernel, בדירוג CVSS 8.8, מאפשרת כתיבה מחוץ לגבולות ה־heap במהלך אימות Kerberos בבקשות SMB2 מורכבות, ועלולה לגרום להשבתת שירותים ולפגיעה בשלמות זיכרון ה־Kernel; לא ידוע על ניצול בפועל. מומלץ למפות שרתים שבהם ksmbd פעיל, לתעדף התקנת עדכון Kernel הכולל את התיקון, ועד להשלמתו לצמצם גישת SMB למקורות מורשים בלבד או להשבית את השירות אם אינו נדרש.
החולשה CVE-2026-99077 ב-Linux Kernel, בדירוג CVSS 7.4, מאפשרת לתוקף off-path לגלות פורט זמני של חיבור UDP באמצעות side-channel במטמון FNHE, ובכך להקל על ניסיונות זיוף תעבורה ופגיעה בשלמות התקשורת של שירותים עסקיים. לא ידוע על ניצול בפועל; מומלץ למפות מערכות מושפעות ולהתקין עדכון Kernel הכולל את התיקון מספק ההפצה, שכן מנגנוני ההקשחה הקודמים ניתנים לעקיפה.
CVE-2026-98945 היא חולשת Use-After-Free בדרייבר HID: steam ב-Linux Kernel, בדירוג CVSS 7.8, הנובעת מתזמון callbacks במהלך שחרור משאבים ועלולה לאפשר פגיעה בזמינות המערכת או הסלמת הרשאות מקומית; לא ידוע על ניצול בפועל. מומלץ לתעדף עדכון Kernel מתוקן בהתאם להנחיות ספק ההפצה, ובמערכות שבהן הדרייבר אינו נדרש לשקול את השבתתו עד להשלמת העדכון.
CVE-2026-98944 ב-Linux Kernel, בדירוג CVSS 7.8, היא חולשת ניהול מחזור חיים בדרייבר HID: steam, שבה כשל ברישום עלול להשאיר אובייקט power_supply לאחר שחרור אובייקט ה-steam, עם סיכון לפגיעה בזיכרון, להשבתת מערכות ולהסלמת הרשאות מקומית; לא ידוע על ניצול בפועל. מומלץ לעדכן לגרסת Kernel הכוללת את התיקון בהתאם להנחיות ההפצה, ולבחון השבתת הדרייבר במערכות שבהן אינו נדרש.
חולשת CVE-2026-98911 ב-Linux Kernel, בדירוג CVSS 7.5, נובעת משחרור זיכרון שגוי במסלול טיפול בשגיאות של רכיב dpaa2-switch ועלולה לגרום לקריסת המערכת ולפגיעה בזמינות שירותים; לא ידוע על ניצול בפועל. מומלץ לאתר מערכות המשתמשות ברכיב ולעדכן לגרסת Kernel הכוללת את התיקון, בהתאם להנחיות ספק ההפצה.
CVE-2026-98899 היא חולשת סנכרון ונעילה ברכיב netfilter/ipset של Linux Kernel, בדירוג CVSS 7.8, העלולה לפגוע ביציבות המערכת ובזמינות שירותים עסקיים; לפי המידע שנמסר, לא ידוע על ניצול בפועל. מומלץ למפות מערכות המשתמשות ברכיב ולתעדף התקנת עדכוני Kernel הכוללים את התיקון בהתאם להנחיות ספק ההפצה.
החולשה CVE-2026-98895 ברכיב net/mlx5 HWS של Linux Kernel נובעת מאי־הסרת הפניה לטבלה שנמחקה מרשימת miss_tbl, ועלולה לגרום לגישה לזיכרון לא תקין, לקריסת המערכת ולפגיעה בזמינות שירותים עסקיים; חומרתה CVSS 7 ולא ידוע על ניצול בפועל. מומלץ לזהות מערכות המשתמשות ברכיב המושפע ולהתקין עדכון Kernel הכולל את התיקון בהתאם להנחיות ספק ההפצה.
CVE-2026-98889 בחומרה גבוהה (CVSS 7.8) היא חולשת גלישת חוצץ בדרייבר Wi-Fi מסוג iwlwifi ב-Linux Kernel, הנובעת מהעתקת IEs לפני בדיקת אורכם במהלך Scheduled Scan ועלולה להוביל לפגיעה בזמינות מערכות או להסלמת הרשאות מקומית; לא ידוע על ניצול בפועל. מומלץ לזהות מערכות המשתמשות בדרייבר ולעדכן לגרסת Kernel הכוללת את התיקון בהתאם להנחיות ספק ההפצה.
CVE-2026-115486 ברכיב iscsiuio של open-iscsi נובעת מבדיקת גבולות חסרה בטיפול ב-IPv6 Neighbor Discovery ומעדכון בלתי מותנה של טבלת ARP, ומאפשרת לתוקף באותו מקטע רשת להרעיל את הטבלה ולהסיט תעבורה, תוך סיכון לסודיות המידע ולזמינות השירותים. לא ידוע על ניצול בפועל; מומלץ לבדוק זמינות עדכון אבטחה של Red Hat ולהחילו, ובינתיים להגביל גישה למקטעי הרשת הרלוונטיים ולנטר הודעות Neighbor Advertisement חריגות ושינויים חשודים במיפויי כתובות.
CVE-2026-115484 ב־iscsiuio של open-iscsi היא חולשת קריאה מחוץ לגבולות ה־heap במפענח אפשרויות DHCPv4, המאפשרת לתוקף באותו מקטע רשת לשלוח תגובת DHCP זדונית ולגרום לקריסת ה־daemon או לשיבוש תצורת הרשת, עם סיכון לפגיעה בזמינות שירותים התלויים בו. לא ידוע על ניצול בפועל; מומלץ לאתר מערכות מושפעות, להחיל עדכון ספק כשיהיה זמין ולהגביל תגובות DHCP למקורות מורשים באמצעות בקרות רשת כגון DHCP Snooping.
CVE-2026-97785 היא חולשת Improper Authentication ב-AAD App Proxy של Microsoft, בדירוג CVSS 10, המאפשרת לתוקף ללא הרשאה לבצע העלאת הרשאות דרך הרשת ועלולה להוביל לגישה בלתי מורשית ליישומים ולמידע עסקי; לא ידוע על ניצול בפועל. מומלץ למפות שימוש וחשיפה לשירות, לבדוק בדחיפות הנחיות ועדכוני אבטחה של Microsoft וליישמם ככל שזמינים, ולנטר פעילות אימות ושינויי הרשאות חריגים.
CVE-2026-83938 היא חולשת היעדר אימות בפונקציה קריטית ב-Azure Kubernetes Configuration Service, בדירוג CVSS 10, המאפשרת לתוקף לא מורשה להעלות הרשאות דרך הרשת ולסכן את סודיות המידע, שלמותו וזמינות השירותים. אף שלא ידוע על ניצול בפועל, מומלץ לבדוק מיד את החשיפה בהתאם להנחיות Microsoft, ליישם תיקונים או צעדי מיתון זמינים ולנטר שינויי הרשאות ותצורה חריגים.
חולשת SSRF ב-Azure AI Foundry (CVE-2026-108456, CVSS 7.7) מאפשרת לתוקף בעל הרשאות להעלות הרשאות דרך הרשת, ועלולה להוביל לגישה לא מורשית למשאבים ולמידע ארגוני; לא ידוע על ניצול בפועל. מומלץ לבדוק את הנחיות Microsoft וליישם עדכונים או אמצעי מיתון ככל שפורסמו, לצמצם הרשאות וגישה רשתית ולנטר בקשות חריגות מהשירות.
חולשת CVE-2026-115392 ב-Wasmtime מאפשרת עקיפת בידוד מערכת הקבצים דרך wasmtime-wasi עקב טיפול שגוי ב-symlinks ב-macOS ובמערכות Linux ללא openat2, ועלולה לאפשר לקוד אורח לקרוא ולשנות קבצים מחוץ ל-sandbox בהתאם להרשאות תהליך המארח, תוך סיכון לדלף מידע ולפגיעה בשלמות הנתונים. לא ידוע על ניצול בפועל; מומלץ לעדכן לגרסה המתוקנת המתאימה לענף — 24.0.13, 36.0.14, 46.0.3 או 47.0.4 — ולצמצם הרשאות גישה לקבצים של תהליך המארח, שכן הגדרת האורח לקריאה בלבד אינה מונעת בהכרח חשיפה.
חולשת Buffer Overflow ב־Google Brotli (CVE-2026-111497, CVSS 9.2) מאפשרת לתוקף מרוחק ללא הזדהות לנצל זרם דחוס זדוני לחשיפת מידע מהזיכרון, להשבתת שירותים ואף להרצת קוד אפשרית, ומסכנת את סודיות המידע ורציפות הפעילות; לא ידוע על ניצול בפועל. מומלץ למפות ספריות ורכיבי Brotli, לרבות תלויות עקיפות, ולאמת מול הודעת הספק את הגרסאות הפגיעות והמתוקנות בשל אי־התאמה בטווחי הגרסאות שדווחו, ואז לעדכן בדחיפות תוך תעדוף שירותים המעבדים תוכן ממקורות לא מהימנים.
CVE-2018-25439 היא חולשת Path Traversal ב-MetInfo CMS מגרסה 6.0.0 ועד לפני 6.1.1, המאפשרת לתוקף ללא הזדהות לקרוא קבצים שרירותיים ב-Windows באמצעות הפרמטר dir ב-/include/thumb.php, ועלולה לחשוף פרטי גישה למסדי נתונים ולהוביל לדליפת מידע עסקי. מומלץ לשדרג לגרסה מתוקנת ונתמכת, להגביל גישה לנקודת הקצה ולבדוק סימני ניצול וחשיפת סודות; בניגוד לסימון לא ידוע על ניצול, בתיאור שסופק מצוינות עדויות לניצול שזוהו בידי Shadowserver ב-14 באוקטובר 2023.
CVE-2026-76526 כוללת מספר חולשות מסוג Improper Neutralization (CWE-707) במוצרי Cisco, בדירוג CVSS 8.8 וללא ניצול ידוע; המידע שפורסם אינו מפרט את המוצרים המושפעים או את ההשפעה העסקית המדויקת, ולכן נדרשת בדיקת חשיפה ארגונית. מומלץ לבדוק את הודעת האבטחה של Cisco לזיהוי המוצרים והגרסאות הרלוונטיים ולתעדף את התקנת עדכון ההקשחה שפורסם בהתאם לחשיפה ולקריטיות העסקית.
חולשת חשיפת מידע CVE-2026-76306 ב-Splunk SOAR בגרסאות הקודמות ל-8.7.0 מאפשרת למשתמש בעל תפקיד Observer להסיק password hashes ו-authorization tokens של משתמשים אחרים באמצעות מסנני שאילתות ב-REST API, ובכך עלולה לאפשר גישה לא מורשית ופגיעה בתהליכי תגובה לאירועי סייבר. לא ידוע על ניצול בפועל; מומלץ לשדרג לגרסה 8.7.0 ומעלה, לצמצם גישת Observer ל-REST API עד להשלמת השדרוג ולבחון פעילות API חריגה, תוך החלפת tokens וסיסמאות אם עולה חשד לחשיפה.
CVE-2026-76300 מרכז מספר חולשות בניהול מחזור חיי משאבים בתוכנת Cisco, בדירוג CVSS 8.8, העלולות לסכן מערכות ארגוניות; לא ידוע על ניצול, והמידע שנמסר אינו מפרט את המוצרים המושפעים או את ההשלכות העסקיות המדויקות. מומלץ לזהות מוצרים וגרסאות מושפעים לפי פרסום האבטחה של Cisco ולתעדף התקנת עדכון ההקשחה שפורסם, בהתאם לחשיפה ולקריטיות העסקית.
חולשה קריטית ב־plugin הניסיוני tsmemcache של Apache Traffic Server מאפשרת לתוקף ברשת, ללא הזדהות, לקרוא, לשנות ולמחוק את ה־proxy cache המשותף, תוך סיכון לדליפת מידע, שיבוש תוכן ופגיעה בזמינות השירות; לא ידוע על ניצול בפועל. מומלץ לבדוק את השימוש ב־plugin ולשדרג בדחיפות לגרסה 9.2.16, 10.1.5 או 10.2.1, ועד להשלמת השדרוג להשביתו או להגביל את הגישה הרשתית אליו.
חולשת CVE-2026-111816 ב-Apache Traffic Server, בדירוג CVSS 9.2, מאפשרת העברה ושמירה במטמון של תגובת 302 פגומה עקב עקיפת בדיקת תקינות ב-Transfer-Encoding: chunked, ועלולה להוביל ל-cache poisoning ול-response-framing desync, להפצת תוכן שגוי ולפגיעה באמינות השירות. לא ידוע על ניצול בפועל; מומלץ למפות מופעים פגיעים ולשדרג בהקדם לגרסאות המתוקנות 9.2.16, 10.1.5 או 10.2.1.
חולשה קריטית ב-plugin הניסיוני magick של Apache Traffic Server מאפשרת לתוקף ללא הזדהות לשלוט בארגומנטים של ImageMagick convert בתצורת ברירת המחדל ללא חתימה, ועלולה לסכן את זמינות השירות ואת שלמות המידע; לא ידוע על ניצול בפועל. מומלץ לבדוק אם ה-plugin מופעל ולשדרג לגרסה 9.2.16, 10.1.5 או 10.2.1 בהתאם לענף הנתמך, או להשבית את ה-plugin עד להשלמת השדרוג.
חולשה קריטית ב-Apache Pulsar (CVE-2026-105869, CVSS 9.2) מאפשרת בפריסות המשתמשות ב-MultiRolesTokenAuthorizationProvider עם anonymousUserRole מוגדר ומנגנון fallback פעיל, לתוקף ללא פרטי הזדהות לנצל JWT מזויף לקבלת הרשאות עד super-user דרך admin REST API או WebSocket API, תוך סיכון לחשיפת מידע, שינוי הרשאות ותצורה ושיבוש השירות. מומלץ לשדרג לגרסה מתוקנת — לפחות 4.0.14 בענף 4.0.x או 4.2.5 למשתמשי 4.1.x ו-4.2.x — ועד אז להסיר את anonymousUserRole מתצורת ה-broker ושירות ה-WebSocket או להגביל גישה ל-HTTP endpoints ללקוחות מהימנים בלבד; לא ידוע על ניצול בפועל.
CVE-2026-20236 ב-Cisco Open Source Snort 3 כוללת חולשות חישוב שגוי מסוג CWE-682 בחומרת CVSS 7.5, העלולות לסכן את אמינות מנגנוני הניטור וההגנה, אך המידע שנמסר אינו מפרט את השפעתן התפעולית ולא ידוע על ניצולן. מומלץ למפות פריסות מושפעות, לבדוק את הנחיות Cisco ולתעדף התקנת גרסאות ההקשחה שפורסמו, תוך בדיקת תקינות הניטור לאחר העדכון.
CVE-2026-20043 ב-Cisco Open Source Snort 3 כוללת חולשות מסוג out-of-bounds write בחומרה גבוהה (CVSS 9), העלולות לפגוע בזמינות ובשלמות מערך זיהוי ומניעת החדירות; לא ידוע על ניצול בפועל. מומלץ למפות פריסות וגרסאות מושפעות ולתעדף התקנת גרסאות ההקשחה שפרסמה Cisco בהתאם להנחיות היצרן.
CVE-2023-7356 היא חולשה בחומרה גבוהה ב-Linux Kernel (CVSS 8.8), הנובעת מהעתקת נתוני Bluetooth ISO ל-BASE ללא אימות מתאים של Service UUID, ועלולה לסכן את יציבותן ואבטחתן של מערכות המשתמשות ב-Bluetooth; לא ידוע על ניצול בפועל. מומלץ להתקין עדכון Kernel הכולל את התיקון בהתאם להנחיות ספק ההפצה, ועד לעדכון להשבית Bluetooth במערכות שבהן אינו נדרש עסקית.
CVE-2026-109619 ב-Palo Alto Networks PAN-OS, בדירוג CVSS 9.2, מתוארת כחולשת Use-After-Free בניהול המצב הגלובלי של PHP, העלולה לאפשר הרצת קוד מרחוק (RCE), השתלטות על רכיבי אבטחה, חשיפת מידע ושיבוש פעילות עסקית; לפי המידע שנמסר, לא ידוע על ניצול בפועל. מומלץ לאמת מול היצרן את הגרסאות המושפעות וזמינות התיקון, לתעדף עדכון בהתאם להנחיותיו, ובינתיים לצמצם חשיפה וגישה לממשקים הרלוונטיים ולהגביר ניטור לפעילות חריגה.
CVE-2026-109618, שדווחה ב-Palo Alto Networks PAN-OS בדירוג CVSS 9.2, מתארת טיפול לקוי במצבי Out-of-Memory ב-PHP שעלול להוביל להרצת קוד מרחוק (RCE), להשתלטות על מערכות אבטחה ולפגיעה ברציפות העסקית; לא ידוע על ניצול בפועל. מומלץ לאמת מול היצרן את שיוך החולשה למוצר ואת הגרסאות המושפעות, לתעדף עדכון אבטחה בהתאם להנחיותיו ולצמצם חשיפה של ממשקי ניהול ושירותים רלוונטיים לרשתות לא מהימנות.
חולשת CVE-2026-74757 ב־mcpack2pb של Apache bRPC בגרסאות שלפני 1.18.0 מאפשרת לתוקף מרוחק, בתצורות המשתמשות ב־UbrpcMcpack2Adaptor ובקוד שנוצר באמצעות mcpack2pb protoc plugin, לגרום להקצאת זיכרון חריגה לפני אימות ולהשבתת השירות, עם סיכון לפגיעה ברציפות העסקית. מומלץ לשדרג לגרסה 1.18.0 או להחיל את התיקון הרשמי; לא ידוע על ניצול החולשה בפועל.
חולשת CVE-2026-114119 ב-Bp Premier של Best Practice Software בגרסאות שלפני 1.14.1.1128, בדירוג CVSS 9.3, נובעת מסיסמת ניהול קבועה ומשותפת ב-Microsoft SQL Server ומאפשרת לתוקף בעל גישת רשת למסד הנתונים לקבל הרשאות sysadmin ולהריץ פקודות כ-SYSTEM, תוך סיכון לחשיפת מידע רפואי, לשיבושו ולהשבתת שירותים. מומלץ לשדרג לגרסה 1.14.1.1128 ומעלה, להגביל גישת רשת למסד הנתונים ולנטר פעילות ניהול חריגה; אין לשנות את הסיסמה ידנית מחשש לשבירת היישום, ולא ידוע בשלב זה על ניצול בפועל.
חולשת CVE-2026-114094 ב-Dulwich בגרסאות שלפני 1.2.9 מאפשרת למאגר Git זדוני לעקוף אימות נתיבים ב-Windows ולכתוב קבצים מחוץ ל-worktree, עד כדי Remote Code Execution וסיכון לפגיעה בתחנות פיתוח ובתהליכי CI/CD; ציון ה-CVSS הוא 8.7 ולא ידוע על ניצול בפועל. מומלץ לשדרג ל-Dulwich 1.2.9 ומעלה, ועד להשלמת העדכון להגביל עיבוד מאגרים לא מהימנים בסביבות Windows ולהפעיל תהליכים אלה בהרשאות מינימליות.
חולשת Path Traversal ב-SvelteKit (@sveltejs/kit) בגרסאות 2.10.0 ועד לפני 3.0.0 מאפשרת לתוקפים ללא הזדהות בעלי גישה לשרת vite preview ב-Windows לקרוא קבצים מחוץ לתיקיית הפלט, ולחשוף קוד מקור, הגדרות ופרטי גישה שעלולים לאפשר פגיעה במערכות העסקיות. מומלץ לשדרג לגרסה מתוקנת, למנוע חשיפת שרת ה-preview לרשתות לא מהימנות או דרך מנהרות ולהגביל את הרשאות הקריאה של תהליך השרת; לא ידוע על ניצול החולשה בפועל.
CVE-2026-93441 ב-IBM QRadar SIEM, בדירוג CVSS 8.6, מאפשרת לתוקף מרוחק לגרום ל-DoS עקב צריכת משאבים בלתי מבוקרת, באופן שעלול לפגוע בזמינות ניטור האבטחה וביכולת לזהות אירועים ולהגיב להם; לא ידוע על ניצול בפועל. מומלץ לבדוק מול IBM אילו גרסאות מושפעות וזמינות עדכוני אבטחה, לתעדף את התקנתם ובינתיים להגביל גישה למערכת ולנטר עומסי משאבים חריגים.
חולשת CVE-2026-91668 ברכיב Dictionary Repository של Oracle Data Integrator בגרסאות 12.2.1.4.0 ו-14.1.2.0.0, בדירוג CVSS 8.8, מאפשרת לתוקף בעל הרשאות נמוכות וגישה רשתית דרך SQL להשתלט על המוצר, תוך סיכון לחשיפת מידע, לשיבוש נתונים ולהשבתת תהליכי אינטגרציה עסקיים. אף שלא ידוע על ניצול בפועל, מומלץ לתעדף החלת עדכוני אבטחה בהתאם להנחיות Oracle, ובינתיים להגביל גישת SQL ולצמצם הרשאות למינימום הנדרש.
החולשה CVE-2026-91661 ברכיב Security של Oracle Essbase בגרסה 21.8.3.0.0, בדירוג CVSS 7.7, מאפשרת לתוקף בעל הרשאות נמוכות וגישה דרך HTTP להיחשף לנתונים קריטיים או לכלל הנתונים הנגישים למערכת, עם סיכון לדליפת מידע עסקי רגיש ולהשפעה על מוצרים נוספים. אף שלא ידוע על ניצול, מומלץ לתעדף החלת תיקון בהתאם להנחיות Oracle, ובינתיים לצמצם גישת רשת והרשאות ולנטר גישה חריגה לנתונים.
חולשת CVE-2026-91659 ברכיב Build של Oracle Essbase בגרסה 21.8.3.0.0, בדירוג CVSS 7.7, מאפשרת לתוקף בעל הרשאות נמוכות וגישה דרך HTTP לחשוף מידע קריטי או את כלל הנתונים הנגישים למערכת, עם פוטנציאל להשפעה גם על מוצרים נוספים ולדליפת מידע עסקי רגיש. לא ידוע על ניצול בפועל; מומלץ לתעדף החלת תיקון בהתאם להנחיות Oracle, ובינתיים לצמצם גישת רשת והרשאות ולנטר גישה חריגה לנתונים.
חולשה קריטית CVE-2026-91656 ברכיב Federated Partitions של Oracle Essbase בגרסה 21.8.3.0.0, בדירוג CVSS 9.1, מאפשרת לתוקף בעל הרשאות נמוכות וגישה ברשת דרך HTTP לחשוף נתונים רגישים, לשנות או למחוק חלק מהנתונים ולגרום להשבתה חלקית, עם פוטנציאל להשפעה גם על מוצרים נוספים ולפגיעה בסודיות המידע, באמינותו וברציפות העסקית. אף שלא ידוע על ניצול בפועל, מומלץ לתעדף בדחיפות החלת תיקון בהתאם להנחיות Oracle, ובינתיים להגביל גישה למערכת ולנטר פעילות חריגה.
חולשה קריטית CVE-2026-91655 ברכיב Security של Oracle Essbase בגרסה 21.8.3.0.0, בדירוג CVSS 9.1, מאפשרת לתוקף בעל הרשאות נמוכות וגישה דרך HTTP לחשוף מידע עסקי רגיש, לשנות או למחוק נתונים ולגרום להשבתה חלקית, עם השפעה אפשרית גם על מוצרים נוספים. אף שלא ידוע על ניצול בפועל, מומלץ לתעדף בדחיפות החלת תיקון בהתאם להנחיות Oracle, ובינתיים לצמצם גישה רשתית למערכת ולהגביר ניטור אחר גישה חריגה ושינויים בנתונים.
חולשת CVE-2026-91653 ברכיב Essbase Web Platform של Oracle Essbase בגרסה 21.8.3.0.0, בדירוג CVSS 8.5, מאפשרת לתוקף בעל הרשאות נמוכות וגישה דרך HTTP לקרוא נתונים קריטיים ולשנות או למחוק חלק מהנתונים, תוך סיכון לחשיפת מידע עסקי, לפגיעה באמינותו ולהשפעה על מוצרים נוספים. אף שלא ידוע על ניצול בפועל, מומלץ לתעדף החלת עדכון אבטחה בהתאם להנחיות Oracle, להגביל גישה לרכיב ולנטר גישה ושינויים חריגים בנתונים.
CVE-2026-91644 היא חולשה קריטית ברכיב Security של Oracle Essbase בגרסה 21.8.3.0.0 (CVSS 9.3), המאפשרת לתוקף לא מאומת דרך HTTP לגשת למידע קריטי ואף לכל המידע הנגיש למערכת ולשנות או למחוק חלק ממנו, עם סיכון לדלף מידע עסקי, לפגיעה באמינות הנתונים ולהשפעה על מוצרים נוספים. אף שלא ידוע על ניצול, מומלץ לתעדף החלת תיקון בהתאם להנחיות Oracle, ובינתיים להגביל גישת HTTP למערכת למקורות מורשים ולנטר גישה ושינויים חריגים בנתונים.
החולשה CVE-2026-91642 ברכיב Security של Oracle Essbase בגרסה 21.8.3.0.0, בדירוג CVSS 7.3, מאפשרת לתוקף ללא אימות דרך HTTP לקרוא ולשנות חלק מהנתונים ולגרום ל-DoS חלקי, תוך סיכון לסודיות המידע העסקי, לאמינותו ולזמינות השירות; לא ידוע על ניצול בפועל. מומלץ לתעדף החלת עדכון אבטחה של Oracle בהתאם להנחיות היצרן, ועד ליישומו להגביל גישת HTTP למערכת למקורות מורשים ולנטר גישה ושינויים חריגים בנתונים.
CVE-2026-91639 ברכיב Security של Oracle Essbase בגרסה 21.8.3.0.0, בדירוג CVSS 7.7, מאפשרת לתוקף בעל הרשאות נמוכות וגישה ברשת דרך HTTP להשיג גישה בלתי מורשית למידע קריטי או לכל הנתונים הנגישים למערכת, תוך סיכון לחשיפת מידע עסקי רגיש ולהשפעה על מוצרים נוספים. לא ידוע על ניצול בפועל; מומלץ לתעדף החלת עדכון אבטחה בהתאם להנחיות Oracle, ובינתיים להגביל גישת HTTP למערכת לגורמים מורשים בלבד ולנטר גישה חריגה לנתונים.
חולשת CVE-2026-91636 ברכיב Security של Oracle Essbase בגרסה 21.8.3.0.0, בדירוג CVSS 7.7, מאפשרת לתוקף בעל הרשאות נמוכות וגישה ברשת דרך HTTP להשיג גישה בלתי מורשית לנתונים קריטיים או לכל הנתונים הנגישים למערכת, תוך סיכון לחשיפת מידע עסקי רגיש והשפעה אפשרית על מוצרים נוספים. אף שלא ידוע על ניצול בפועל, מומלץ לתעדף החלת עדכון אבטחה בהתאם להנחיות Oracle, ובינתיים לצמצם גישה רשתית למערכת ולהדק הרשאות משתמשים.
החולשה CVE-2026-91632 ברכיב Security של Oracle Essbase בגרסה 21.8.3.0.0, בדירוג CVSS 7.7, מאפשרת לתוקף בעל הרשאות נמוכות וגישה דרך HTTP להשיג גישה בלתי מורשית למידע קריטי ואף לכל המידע הנגיש למערכת, עם סיכון לחשיפת מידע עסקי רגיש ולהשפעה על מוצרים נוספים. אף שלא ידוע על ניצול בפועל, מומלץ לתעדף החלת תיקון בהתאם להנחיות Oracle, להגביל גישה רשתית למערכת ולנטר גישה חריגה למידע.
CVE-2026-91627 היא חולשה ברכיב Platform של Oracle Communications Billing and Revenue Management בגרסאות 15.0.0.0.0, 15.0.1.0.0, 15.1.0.0.0 ו-15.2.0.0.0, המאפשרת לתוקף בעל הרשאות נמוכות וגישה מקומית לתשתית להשתלט על המוצר, תוך סיכון לחשיפת מידע, לשיבוש נתוני חיוב ולהשבתת תהליכי גבייה. החולשה מדורגת CVSS 7.8 ולא ידוע על ניצול שלה; מומלץ לתעדף החלת עדכוני אבטחה של Oracle ולצמצם גישה והרשאות לתשתית המארחת.
חולשת CVE-2026-91625 ברכיב Product Quality Management של Oracle Agile Product Lifecycle Management for Process בגרסה 6.2.4, בדירוג CVSS 8.2, מאפשרת לתוקף לא מאומת דרך HTTP לקרוא מידע קריטי ואף את כלל המידע הנגיש למערכת ולשנות או למחוק חלק ממנו, תוך סיכון לסודיות מידע עסקי ולאמינות נתוני איכות המוצר. אף שלא ידוע על ניצול, מומלץ לתעדף החלת תיקון בהתאם להנחיות Oracle, ובינתיים להגביל גישה רשתית למערכת לגורמים מורשים ולנטר גישה חריגה ושינויים בנתונים.
חולשת CVE-2026-91623 ברכיב Product Quality Management של Oracle Agile Product Lifecycle Management for Process בגרסה 6.2.4 מאפשרת לתוקף לא מאומת דרך HTTP, בתנאי ניצול מורכבים, לקרוא, ליצור, לשנות או למחוק מידע קריטי, תוך סיכון לסודיות נתוני המוצר ולשלמות תהליכי ניהול האיכות. לא ידוע על ניצול בפועל; מומלץ לבדוק זמינות עדכון אבטחה של Oracle ולהחילו בהקדם, ובינתיים להגביל גישה למערכת לרשתות ולמשתמשים מורשים ולנטר גישה ושינויים חריגים בנתונים.
חולשה קריטית CVE-2026-91622 בדירוג CVSS 9.3 ברכיב Product Quality Management של Oracle Agile Product Lifecycle Management for Process בגרסה 6.2.4 מאפשרת לתוקף לא מאומת דרך HTTP, בכפוף לאינטראקציה של משתמש, לקרוא, לשנות ולמחוק מידע רגיש, תוך סיכון לשלמות נתוני איכות המוצר ושרשרת האספקה ולהשפעה על מוצרים נוספים. לא ידוע על ניצול בפועל; מומלץ לבדוק זמינות תיקון מול Oracle וליישמו בעדיפות גבוהה, ובינתיים להגביל גישה למערכת ולנטר גישה ושינויים חריגים בנתונים.
חולשת CVE-2026-91610 ב-Oracle REST Data Services בגרסאות 24.2.0–26.2.2, בדירוג CVSS 8.8, מאפשרת לתוקף בעל הרשאות נמוכות וגישה ברשת דרך HTTP להשתלט על השירות, תוך סיכון לחשיפת מידע, שינויו והשבתת שירותים עסקיים. אף שלא ידוע על ניצול בפועל, מומלץ לתעדף התקנת עדכון אבטחה בהתאם להנחיות Oracle, ובינתיים לצמצם גישה רשתית לשירות ולהדק הרשאות.
חולשת CVE-2026-91608 ברכיב Web Server של Oracle BI Publisher, בדירוג CVSS 7.5, מאפשרת לתוקף לא מאומת דרך HTTP לגשת למידע קריטי ואף לכלל המידע הנגיש למוצר, תוך סיכון לחשיפת מידע עסקי רגיש ולהפרת דרישות רגולציה. מומלץ לאתר מערכות בגרסאות 8.2.0.0.0, 12.2.1.4.0 ו-26.01.0.0.0, להחיל עדכוני אבטחה בהתאם להנחיות Oracle ולהגביל גישת HTTP למקורות מורשים עד להשלמת הטיפול; לא ידוע על ניצול בפועל.
החולשה CVE-2026-91604 ברכיב Product Quality Management של Oracle Agile Product Lifecycle Management for Process בגרסה 6.2.4 מאפשרת לתוקף בעל הרשאות נמוכות וגישה דרך HTTP להשתלט על המערכת, בתנאי ניצול מורכבים, ולפגוע בסודיות ובשלמות המידע ובזמינות תהליכי ניהול המוצר והאיכות. אף שלא ידוע על ניצול בפועל, מומלץ לבדוק ולהחיל תיקון של Oracle בהתאם לזמינותו, ובינתיים לצמצם גישה רשתית למערכת, להקשיח הרשאות ולנטר פעילות חריגה.
CVE-2026-91597 היא חולשה ברכיב Platform Security של Oracle Business Intelligence Enterprise Edition בגרסאות 8.2.0.0.0 ו-26.01.0.0.0, המאפשרת לתוקף ללא הזדהות עם גישה למקטע הרשת המקומי של השרת, בתנאי ניצול מורכבים, להשתלט על המערכת ולפגוע בסודיות המידע, בשלמותו ובזמינות השירות, עם השפעה אפשרית על מוצרים נוספים. אף שלא ידוע על ניצול בפועל, מומלץ לתעדף החלת עדכוני אבטחה בהתאם להנחיות Oracle, ובינתיים להגביל גישה למקטע הרשת הרלוונטי באמצעות סגמנטציה ובקרות גישה.
חולשת CVE-2026-91579 ב-Oracle BI Publisher, בדירוג CVSS 8.8, מאפשרת לתוקף לא מאומת דרך HTTP, בכפוף לאינטראקציה של משתמש, להשתלט על המוצר ולפגוע בסודיות המידע, בשלמות הדוחות ובזמינות השירות; לא ידוע על ניצול בפועל. מומלץ לאתר התקנות בגרסאות 8.2.0.0.0, 12.2.1.4.0 ו-26.01.0.0.0, להחיל עדכוני אבטחה בהתאם להנחיות Oracle ובהיעדר תיקון זמין לצמצם גישה רשתית למערכת ולחזק ניטור פעילות חריגה.
חולשת CVE-2026-91573 בחומרה גבוהה (CVSS 8.2) ברכיב Product Quality Management של Oracle Agile Product Lifecycle Management for Process בגרסה 6.2.4 מאפשרת לתוקף לא מאומת דרך HTTP לקרוא מידע קריטי ואף את כלל המידע הנגיש למערכת ולשנות או למחוק חלק ממנו, תוך סיכון לסודיות המידע ולאמינות נתוני איכות המוצר ושרשרת האספקה. לא ידוע על ניצול בפועל; מומלץ להחיל תיקון של Oracle ככל שזמין, ובינתיים להגביל גישה למערכת לרשתות מורשות ולנטר גישה חריגה ושינויים בנתונים.
חולשת CVE-2026-91568 ברכיב RDBMS של Oracle Database Server בגרסאות 23.4.0–23.26.3 מאפשרת לתוקף בעל הרשאת Create Session וגישה דרך Oracle Net לקרוא ללא הרשאה מידע קריטי ואף את כלל המידע הנגיש ל-RDBMS, תוך סיכון לדליפת מידע עסקי רגיש ולהשפעה על מוצרים נוספים. אף שלא ידוע על ניצול בפועל, מומלץ לתעדף החלת עדכון אבטחה מתאים של Oracle, להגביל גישת Oracle Net למקורות מורשים ולצמצם הרשאות Create Session שאינן נחוצות.
CVE-2026-91563 היא חולשה בחומרה גבוהה (CVSS 8.8) ברכיב Oracle OLAP של Oracle Database Server בגרסאות 19.3–19.32, 21.3–21.23 ו-23.4.0–23.26.3, המאפשרת לתוקף בעל הרשאת DBMS_AW וגישה דרך Oracle Net להשתלט על הרכיב ולפגוע בסודיות הנתונים, בשלמותם ובזמינות השירותים העסקיים התלויים בו. אף שלא ידוע על ניצול בפועל, מומלץ לתעדף התקנת עדכוני האבטחה של Oracle, לצמצם הרשאות DBMS_AW ולהגביל גישה ברשת דרך Oracle Net למקורות מורשים בלבד.
חולשת CVE-2026-91557 ברכיב BI Foundation של Oracle Business Intelligence Enterprise Edition בגרסה 12.2.1.4.0 מאפשרת לתוקף בעל הרשאות נמוכות וגישה מקומית לתשתית להשתלט על המוצר, בתנאי ניצול מורכבים, ולפגוע בסודיות המידע העסקי, בשלמותו ובזמינות שירותי האנליטיקה. לא ידוע על ניצול בפועל; מומלץ לבדוק ולהחיל עדכוני אבטחה של Oracle, לצמצם גישה והרשאות לתשתית ולנטר פעילות חריגה.
חולשת CVE-2026-91552 ב-Oracle WebCenter Sites בגרסאות 12.2.1.4.0 ו-14.1.2.0.0, בדירוג CVSS 7.5, מאפשרת לתוקף לא מאומת דרך HTTP לגשת למידע קריטי או לכל המידע הנגיש למערכת, עם סיכון לדליפת מידע עסקי רגיש ולחשיפה רגולטורית. לא ידוע על ניצול בפועל; מומלץ לתעדף התקנת תיקון אבטחה של Oracle בהתאם לזמינותו, ובינתיים לצמצם גישה למערכת ממקורות לא מהימנים ולנטר גישה חריגה למידע.
CVE-2026-91550 היא חולשה בחומרה גבוהה (CVSS 8.8) ברכיב Product Quality Management של Oracle Agile Product Lifecycle Management for Process בגרסה 6.2.4, המאפשרת לתוקף בעל הרשאות נמוכות וגישה ברשת דרך HTTP להשתלט על המערכת, תוך סיכון לחשיפת מידע, שינוי נתוני מוצר ואיכות ושיבוש תהליכים עסקיים. אף שלא ידוע על ניצול בפועל, מומלץ לתעדף החלת תיקון בהתאם להנחיות Oracle, ועד להשלמתה להגביל גישה למערכת לגורמים מורשים בלבד ולנטר פעילות חריגה.
החולשה CVE-2026-91549 ברכיב Analytics Server של Oracle Business Intelligence Enterprise Edition בגרסאות 8.2.0.0.0 ו־12.2.1.4.0 מאפשרת לתוקף בעל גישה מקומית לתשתית, ללא הזדהות למוצר ובכפוף לאינטראקציית משתמש, להשתלט על המערכת ולפגוע בסודיות המידע העסקי, בשלמותו ובזמינות שירותי האנליטיקה. אף שלא ידוע על ניצול בפועל, מומלץ לתעדף החלת עדכוני האבטחה של Oracle, להגביל גישה מקומית לתשתית ולנטר פעילות חריגה.
CVE-2026-91546 היא חולשה בחומרה גבוהה (CVSS 8.1) ברכיב BI Foundation של Oracle Business Intelligence Enterprise Edition בגרסה 12.2.1.4.0, המאפשרת לתוקף לא מאומת בעל גישת HTTP להשתלט על המערכת ולפגוע בסודיות המידע העסקי, בשלמותו ובזמינות שירותי האנליטיקה, אף שניצולה מורכב ולא ידוע על ניצול בפועל. מומלץ לתעדף יישום עדכון אבטחה בהתאם להנחיות Oracle, ועד להשלמת הטיפול לצמצם גישת HTTP למערכת למקורות מורשים בלבד ולנטר פעילות חריגה.
חולשת CVE-2026-91545 ברכיב Platform Security של Oracle Business Intelligence Enterprise Edition בגרסאות 8.2.0.0.0 ו-12.2.1.4.0 מאפשרת לתוקף בעל גישה מקומית לתשתית, ללא אימות למוצר ובכפוף לאינטראקציית משתמש, להשתלט על המערכת ולפגוע בסודיות ובשלמות המידע העסקי ובזמינות שירותי האנליטיקה. אף שלא ידוע על ניצול בפועל, מומלץ לתעדף החלת עדכוני אבטחה בהתאם להנחיות Oracle, לצמצם גישה לתשתית ולנטר פעילות חריגה.
CVE-2026-91542 ב-Oracle WebCenter Sites בגרסאות 12.2.1.4.0 ו-14.1.2.0.0 היא חולשה בדרגת חומרה גבוהה (CVSS 7.5), המאפשרת לתוקף לא מאומת דרך HTTP לגשת למידע קריטי או לכל המידע הנגיש למוצר, עם סיכון לדליפת מידע עסקי רגיש ולהשלכות רגולטוריות; לא ידוע על ניצול בפועל. מומלץ לאתר מערכות מושפעות, לתעדף החלת עדכוני אבטחה בהתאם להנחיות Oracle, ועד להשלמת הטיפול לצמצם גישה רשתית למוצר ולנטר גישה חריגה למידע.
חולשת CVE-2026-91539 ברכיב Presentation Services של Oracle Business Intelligence Enterprise Edition בגרסה 12.2.1.4.0 מאפשרת לתוקף בעל הרשאות נמוכות וגישה מקומית לתשתית להשתלט על המוצר, תוך סיכון לחשיפת מידע עסקי, לשיבושו ולהשבתת שירותי BI. לא ידוע על ניצול בפועל; מומלץ להחיל תיקון אבטחה של Oracle בהתאם לזמינותו, ובינתיים לצמצם גישה והרשאות לתשתית ולנטר פעילות חריגה.
החולשה CVE-2026-91537 ברכיב Utility של Oracle Solaris 11.4, בדירוג CVSS 7.8, מאפשרת לתוקף מקומי בעל הרשאות נמוכות להשתלט על המערכת, תוך סיכון לחשיפת מידע, שינויו והשבתת שירותים עסקיים; לא ידוע על ניצול בפועל. מומלץ לתעדף התקנת עדכון אבטחה בהתאם להנחיות Oracle, ובינתיים לצמצם גישה מקומית והרשאות משתמשים ולנטר פעילות חריגה.
CVE-2026-91535 היא חולשה בחומרה גבוהה (CVSS 8.8) ברכיב BI Search של Oracle Business Intelligence Enterprise Edition בגרסאות 8.2.0.0.0, 12.2.1.4.0 ו-26.01.0.0.0, המאפשרת לתוקף בעל הרשאות נמוכות וגישה ברשת דרך HTTP להשתלט על המוצר, עם סיכון לחשיפת מידע עסקי, שינויו והשבתת שירותי BI. אף שלא ידוע על ניצול בפועל, מומלץ לתעדף החלת עדכוני אבטחה בהתאם להנחיות Oracle, ובינתיים לצמצם גישה למערכת ולנטר פעילות חריגה.
חולשת CVE-2026-91534 ב-Oracle Business Intelligence Enterprise Edition, בדירוג CVSS 8.6, מאפשרת לתוקף לא מאומת דרך HTTP להשבית את השירות ולקרוא או לשנות חלק מהנתונים, תוך סיכון לרציפות הפעילות, לסודיות המידע ולאמינות הדיווח העסקי. מומלץ לאתר התקנות בגרסאות 8.2.0.0.0, 12.2.1.4.0 ו-26.01.0.0.0, להחיל עדכוני אבטחה בהתאם להנחיות Oracle ובהיעדר תיקון זמין להגביל גישת HTTP לגורמים מורשים בלבד; לא ידוע על ניצול בפועל.
חולשת CVE-2026-91532 ב-Oracle Applications Manager שב-Oracle E-Business Suite בגרסאות 12.2.3–12.2.15, בדירוג CVSS 8.8, מאפשרת לתוקף בעל הרשאות נמוכות וגישה דרך HTTP להשתלט על המוצר, תוך סיכון לסודיות ולשלמות המידע ולזמינות שירותים עסקיים. אף שלא ידוע על ניצול בפועל, מומלץ לתעדף יישום תיקוני Oracle הרלוונטיים, להגביל גישה רשתית למערכת לגורמים מורשים ולנטר פעילות חריגה.
חולשת CVE-2026-91527 ב-Oracle ZFS Storage Appliance Kit גרסה 8.8, בדירוג CVSS 8.8, מאפשרת לתוקף בעל הרשאות נמוכות וגישה ברשת דרך HTTP להשתלט על המערכת, עם סיכון לחשיפת מידע, שינויו והשבתת שירותי אחסון. לא ידוע על ניצול בפועל; מומלץ לתעדף החלת תיקון של Oracle עם זמינותו, ובינתיים להגביל גישה לממשק HTTP לגורמים מורשים בלבד ולנטר פעילות חריגה.
CVE-2026-91521 היא חולשה בחומרה גבוהה (CVSS 8.8) ברכיב Product Quality Management של Oracle Agile Product Lifecycle Management for Process בגרסה 6.2.4, המאפשרת לתוקף בעל הרשאות נמוכות וגישה דרך HTTP להשתלט על המערכת, תוך סיכון לחשיפת מידע, שינוי נתוני מוצר ואיכות ושיבוש תהליכים עסקיים. אף שלא ידוע על ניצול בפועל, מומלץ לתעדף החלת תיקון של Oracle ככל שזמין, ובינתיים להגביל גישה רשתית למערכת ולצמצם הרשאות משתמשים.
CVE-2026-91520 היא חולשה בחומרה גבוהה (CVSS 8.8) ברכיב Product Quality Management של Oracle Agile Product Lifecycle Management for Process בגרסה 6.2.4, המאפשרת לתוקף בעל הרשאות נמוכות וגישה דרך HTTP להשתלט על המערכת ולפגוע בסודיות נתוני המוצר, בשלמותם וברציפות התהליכים העסקיים. אף שלא ידוע על ניצול בפועל, מומלץ לתעדף החלת תיקון בהתאם להנחיות Oracle, ובינתיים להגביל גישה רשתית למערכת ולנטר פעילות חריגה של משתמשים בעלי הרשאות נמוכות.
החולשה CVE-2026-91517 ברכיב EM Plugin של Oracle Management Pack for Oracle GoldenGate בגרסאות 13.4.1.0.1–13.5.2.0.6 מאפשרת לתוקף ללא הזדהות, בעל גישה למקטע הרשת המקומי ובסיוע אינטראקציה של משתמש, להשתלט על המוצר ולפגוע בסודיות, בשלמות ובזמינות של סביבת הניהול. אף שלא ידוע על ניצול בפועל, מומלץ לתעדף החלת תיקון בהתאם להנחיות Oracle, ובינתיים להגביל גישה לרכיב באמצעות סגמנטציה והרשאות רשת מצומצמות.
חולשת CVE-2026-91515 ברכיב Product Quality Management של Oracle Agile Product Lifecycle Management for Process בגרסה 6.2.4 מאפשרת לתוקף בעל הרשאות נמוכות וגישה דרך HTTP להשתלט על המערכת, בתנאי ניצול מורכבים, ולפגוע בסודיות המידע, בשלמותו ובזמינות תהליכים עסקיים. אף שלא ידוע על ניצול בפועל, מומלץ לתעדף טיפול בהתאם להנחיות Oracle ולהחיל תיקון ככל שזמין, ובינתיים לצמצם גישה רשתית והרשאות ולנטר פעילות חריגה.
חולשת CVE-2026-91512 ברכיב Product Quality Management של Oracle Agile Product Lifecycle Management for Process בגרסה 6.2.4 מאפשרת לתוקף בעל הרשאות גבוהות וגישה ברשת דרך HTTP להשתלט על המערכת, תוך סיכון לחשיפת מידע, לשיבוש נתוני איכות מוצר ולהשבתת תהליכים עסקיים. אף שלא ידוע על ניצול בפועל, מומלץ לבדוק זמינות עדכון אבטחה של Oracle ולהחילו בהקדם, ובינתיים להגביל גישה רשתית למערכת ולצמצם הרשאות גבוהות.
חולשת CVE-2026-91511 ב-Oracle Purchasing שב-Oracle E-Business Suite בגרסאות 12.2.3–12.2.15 מאפשרת לתוקף בעל הרשאות נמוכות וגישה דרך HTTP, בתנאי ניצול מורכבים, לקרוא מידע קריטי ולשנות חלק מהנתונים, עם פוטנציאל להשפעה גם על מוצרים נוספים ולפגיעה בסודיות מידע עסקי ובשלמות תהליכי הרכש. לא ידוע על ניצול בפועל; מומלץ לתעדף החלת תיקון בהתאם להנחיות Oracle, ובינתיים לצמצם גישה רשתית והרשאות למערכת ולנטר גישה ושינויים חריגים בנתונים.
CVE-2026-91506 היא חולשה בחומרה גבוהה (CVSS 8.1) ברכיב Workflow Notification Mailer של Oracle E-Business Suite בגרסאות 12.2.3–12.2.15, המאפשרת לתוקף לא מאומת בעל גישת HTTP להשתלט על Workflow, תוך סיכון לחשיפת מידע, שינוי תהליכים עסקיים והשבתתם, אף שמורכבות הניצול גבוהה ולא ידוע על ניצול בפועל. מומלץ לתעדף החלת עדכוני אבטחה של Oracle בהתאם להנחיות היצרן, ובינתיים לצמצם גישת HTTP לרכיב למקורות מורשים בלבד ולנטר פעילות חריגה.
חולשת CVE-2026-91358 ב־Oracle Business Process Management Suite, בגרסאות 12.2.1.4.0 ו־14.1.2.0.0, מאפשרת לתוקף לא מאומת דרך HTTP לגשת למידע קריטי ואף לכל המידע הנגיש למוצר, וכן לשנות או למחוק חלק ממנו, תוך סיכון לסודיות המידע ולאמינות תהליכים עסקיים. חומרתה CVSS 8.2 ולא ידוע על ניצול בפועל; מומלץ לתעדף התקנת תיקון אבטחה של Oracle ככל שזמין, ובינתיים להגביל גישת HTTP לשירות Case management לגורמים מורשים ולנטר גישה חריגה ושינויים במידע.
CVE-2026-91355 היא חולשה בחומרה גבוהה (CVSS 8.4) ברכיב Outside In Clean Content SDK של Oracle Outside In Technology בגרסה 8.5.8, המאפשרת לתוקף בעל גישה מקומית לתשתית, ללא צורך באימות למוצר, להשתלט עליו ולפגוע בסודיות המידע, בשלמותו ובזמינות השירות. אף שלא ידוע על ניצול בפועל, מומלץ לתעדף החלת תיקון בהתאם להנחיות Oracle, ובינתיים לצמצם גישה מקומית לתשתיות המושפעות ולנטר פעילות חריגה.
CVE-2026-91354 היא חולשה קריטית (CVSS 9.9) ברכיב Outside In Clean Content SDK בגרסה 8.5.8 של Oracle Outside In Technology, המאפשרת לתוקף בעל הרשאות נמוכות וגישה דרך HTTP להשתלט על המוצר, תוך סיכון לדליפת מידע, שינוי נתונים והשבתת שירותים גם במוצרים נוספים. אף שלא ידוע על ניצול בפועל, מומלץ לתעדף בדחיפות איתור מערכות מושפעות והחלת תיקון בהתאם להנחיות Oracle, ובינתיים לצמצם גישת רשת והרשאות לרכיב.
חולשת CVE-2026-91353 ב־Outside In Clean Content SDK בגרסה 8.5.8 של Oracle Outside In Technology מאפשרת לתוקף לא מאומת לנצל גישה דרך HTTP לחשיפת מידע קריטי או כלל המידע הנגיש למוצר, עם סיכון לדלף מידע עסקי ולהשפעה גם על מוצרים נוספים. אף שלא ידוע על ניצול בפועל, מומלץ לתעדף עדכון בהתאם להנחיות Oracle ובינתיים לצמצם גישת רשת לשירותים המשתמשים ברכיב.
CVE-2026-91348 היא חולשה ברכיב Utility של Oracle Solaris בגרסאות 11.3 ו-11.4, בחומרה גבוהה (CVSS 8.4), המאפשרת לתוקף בעל גישה מקומית לתשתית ההרצה, ללא הרשאות מוקדמות, להשתלט על המערכת ולפגוע בסודיות המידע, בשלמותו ובזמינות השירותים העסקיים. אף שלא ידוע על ניצול, מומלץ לתעדף איתור מערכות מושפעות והחלת עדכוני Oracle בהתאם להנחיות היצרן, ובינתיים לצמצם גישה מקומית ולנטר פעילות חריגה.
חולשת CVE-2026-91347 ב־iSupport של Oracle E-Business Suite, ברכיב Service Requests בגרסאות 12.2.3–12.2.15, מאפשרת לתוקף בעל הרשאות נמוכות וגישה דרך HTTP לשנות, למחוק או ליצור נתונים ללא הרשאה ולגרום להשבתה חלקית, תוך סיכון לשלמות נתונים עסקיים ולהמשכיות השירות והשפעה אפשרית על מוצרים נוספים. אף שלא ידוע על ניצול, מומלץ לתעדף החלת עדכון אבטחה מתאים של Oracle, לצמצם גישה לרכיב ולהדק ניטור אחר שינויים חריגים בנתונים.
חולשת CVE-2026-91346 ברכיב Outside In Clean Content SDK בגרסה 8.5.8 של Oracle Outside In Technology, בדירוג CVSS 8.2, מאפשרת לתוקף לא מאומת דרך HTTP, בכפוף לאינטראקציה של משתמש, לגשת למידע רגיש ולשנות או למחוק חלק מהנתונים, עם פוטנציאל להשפעה גם על מוצרים נוספים. אף שלא ידוע על ניצול בפועל, מומלץ למפות מערכות ומוצרים המשלבים את הרכיב, לתעדף החלת תיקון בהתאם להנחיות Oracle ולצמצם חשיפה רשתית עד להשלמת הטיפול.
חולשת CVE-2026-91343 ב-Outside In Clean Content SDK של Oracle Outside In Technology בגרסה 8.5.8, בדירוג CVSS 8.6, מאפשרת לתוקף לא מאומת דרך HTTP ליצור, למחוק או לשנות מידע קריטי ללא הרשאה, עם סיכון לפגיעה בשלמות נתונים עסקיים גם במוצרים נוספים. אף שלא ידוע על ניצול בפועל, מומלץ לתעדף התקנת עדכון אבטחה בהתאם להנחיות Oracle, לאתר יישומים המשלבים את הרכיב ולהגביל את הגישה אליהם ברשת עד להשלמת הטיפול.
חולשת CVE-2026-91342 בחומרה גבוהה (CVSS 8.2) ברכיב Outside In Clean Content SDK בגרסה 8.5.8 של Oracle Outside In Technology מאפשרת לתוקף לא מאומת דרך HTTP, בכפוף לאינטראקציית משתמש, לשנות או למחוק מידע קריטי ולקרוא חלק מהמידע, עם פוטנציאל לפגיעה גם במוצרים נוספים. לא ידוע על ניצול בפועל; מומלץ למפות מערכות ומוצרים המשלבים את הרכיב, לתעדף התקנת תיקון בהתאם להנחיות Oracle, ועד אז לצמצם חשיפה לרשת ועיבוד תוכן ממקורות לא מהימנים.
חולשת CVE-2026-91341 ברכיב Outside In Clean Content SDK בגרסה 8.5.8 של Oracle Outside In Technology, בדירוג CVSS 9.1, מאפשרת לתוקף לא מאומת דרך HTTP לשנות או למחוק נתונים קריטיים ולהשבית את השירות, תוך סיכון לשלמות המידע ולרציפות העסקית. אף שלא ידוע על ניצול בפועל, מומלץ לתעדף בדחיפות החלת תיקון בהתאם להנחיות Oracle, ובינתיים לצמצם גישה רשתית לרכיב ולנטר שינויים חריגים בנתונים וקריסות שירות.
חולשת CVE-2026-91340 בחומרה גבוהה (CVSS 8.8) ברכיב Outside In Clean Content SDK בגרסה 8.5.8 של Oracle Outside In Technology מאפשרת לתוקף בעל הרשאות נמוכות וגישה דרך HTTP להשתלט על המוצר, תוך סיכון לסודיות המידע, לשלמותו ולרציפות השירות; לא ידוע על ניצול בפועל. מומלץ לאתר מערכות מושפעות, לתעדף החלת תיקון בהתאם להנחיות Oracle, ועד להשלמת הטיפול להגביל גישה רשתית והרשאות לרכיב.
CVE-2026-91338 ב-Oracle iSupport שב-Oracle E-Business Suite בגרסאות 12.2.3–12.2.15 היא חולשה בדרגת חומרה גבוהה (CVSS 7.1), המאפשרת לתוקף בעל הרשאות נמוכות וגישה דרך HTTP ליצור, למחוק או לשנות מידע קריטי ולקרוא חלק מהמידע ללא הרשאה, תוך סיכון לשלמות הנתונים העסקיים ולסודיותם; לא ידוע על ניצול בפועל. מומלץ לבדוק ולהחיל את עדכוני Oracle הרלוונטיים בהקדם, ובינתיים לצמצם גישה רשתית והרשאות ל-iSupport ולנטר שינויים חריגים בנתונים.
חולשת CVE-2026-91337 ב־iProcurement של Oracle E-Business Suite בגרסאות 12.2.3–12.2.15 מאפשרת לתוקף לא מאומת דרך HTTPS, במורכבות ניצול גבוהה, לקרוא, ליצור, לשנות או למחוק נתונים ללא הרשאה, תוך סיכון לחשיפת מידע עסקי ולפגיעה בשלמות תהליכי הרכש. אף שלא ידוע על ניצול בפועל, מומלץ לתעדף החלת עדכוני אבטחה של Oracle, לצמצם גישה רשתית למערכת ולנטר גישה ושינויים חריגים בנתוני הרכש.
CVE-2026-91328 ברכיב Deployment SEC של Oracle JD Edwards EnterpriseOne Tools בגרסאות 9.2.0.0–9.2.26.5 מאפשרת לתוקף ללא הזדהות לאפליקציה, אך עם גישת כניסה לתשתית ובכפוף לאינטראקציית משתמש, להשתלט על המוצר ולפגוע בסודיות המידע, בשלמותו ובזמינות התהליכים העסקיים. לא ידוע על ניצול בפועל; מומלץ לתעדף החלת תיקוני Oracle בהתאם להנחיות היצרן, לצמצם גישה לתשתית ולנטר פעילות חריגה.
חולשת CVE-2026-91327 ברכיב Installation Security של Oracle JD Edwards EnterpriseOne Tools בגרסאות 9.2.0.0–9.2.26.5 מאפשרת לתוקף לא מאומת בעל גישה למקטע הרשת המקומי, בתנאי ניצול מורכבים, להשתלט על המוצר ולפגוע בסודיות המידע, בשלמותו וברציפות הפעילות העסקית. לא ידוע על ניצול בפועל; מומלץ לזהות מערכות מושפעות, להחיל תיקון בהתאם להנחיות Oracle ולצמצם גישה למקטע הרשת שבו הן פועלות באמצעות סגמנטציה ובקרות גישה.
חולשת CVE-2026-91326 ברכיב Installation Security של Oracle JD Edwards EnterpriseOne Tools בגרסאות 9.2.0.0–9.2.26.4, בדירוג CVSS 8.8, מאפשרת לתוקף ללא הזדהות הנמצא במקטע הרשת המקומי, ובכפוף לאינטראקציה מצד משתמש, להשתלט על המוצר ולפגוע בסודיות המידע, בשלמותו וברציפות הפעילות, עם אפשרות להשפעה על מוצרים נוספים. לא ידוע על ניצול בפועל; מומלץ לתעדף החלת עדכוני אבטחה בהתאם להנחיות Oracle, להגביל גישה למקטע הרשת הרלוונטי ולנטר פעילות חריגה.
חולשת CVE-2026-91325 ברכיב Installation Security של Oracle JD Edwards EnterpriseOne Tools בגרסאות 9.2.0.0–9.2.26.5 מאפשרת לתוקף לא מאומת דרך HTTP לגשת למידע קריטי ואף לכלל המידע הנגיש למוצר, ומעמידה מידע עסקי רגיש בסיכון לדליפה (CVSS 7.5); לא ידוע על ניצול בפועל. מומלץ לתעדף החלת עדכון אבטחה בהתאם להנחיות Oracle, ובינתיים להגביל גישה רשתית למערכת למקורות מורשים ולנטר גישה חריגה למידע.
חולשת CVE-2026-91321 ב-Requisition Management של Oracle E-Business Suite iProcurement בגרסאות 12.2.3–12.2.15 מאפשרת לתוקף בעל הרשאות נמוכות וגישה דרך HTTP להשתלט על המוצר, תוך סיכון לחשיפת מידע, שינוי דרישות רכש ושיבוש פעילות הרכש; הניצול מורכב ולא ידוע על ניצול בפועל. מומלץ לתעדף החלת תיקון אבטחה של Oracle בהתאם להנחיות היצרן, ובינתיים לצמצם גישה רשתית והרשאות ולנטר פעילות חריגה במערכת.
חולשת CVE-2026-91316 ברכיב E-Content Manager Catalog של Oracle E-Business Suite iProcurement בגרסאות 12.2.3–12.2.15 מאפשרת לתוקף בעל הרשאות גבוהות וגישה דרך HTTPS להשתלט על המוצר, תוך סיכון לחשיפת מידע, שינוי נתוני רכש ושיבוש הפעילות העסקית. אף שלא ידוע על ניצול בפועל, מומלץ לתעדף החלת תיקון אבטחה של Oracle בהתאם לזמינותו, לצמצם הרשאות גבוהות ולהגביל גישה למערכת למורשים בלבד.
חולשת CVE-2026-91315 ברכיב Installation Security של Oracle JD Edwards EnterpriseOne Tools בגרסאות 9.2.0.0–9.2.26.5 מאפשרת לתוקף ללא הזדהות למוצר, אך עם גישה מקומית לתשתית ובכפוף לאינטראקציית משתמש, להשתלט על המוצר ולפגוע בסודיות המידע, בשלמותו וברציפות הפעילות העסקית. אף שלא ידוע על ניצול בפועל, מומלץ לתעדף התקנת עדכון אבטחה בהתאם להנחיות Oracle, ובינתיים לצמצם גישה לתשתית ולנטר פעילות חריגה.
חולשת CVE-2026-91314 ברכיב Installation Security של Oracle JD Edwards EnterpriseOne Tools בגרסאות 9.2.0.0–9.2.26.5 מאפשרת לתוקף בעל גישה מקומית לתשתית, ללא הזדהות למוצר ובכפוף לאינטראקציה של משתמש אחר, להשתלט על המוצר ולפגוע בסודיות הנתונים, בשלמותם ובזמינות התהליכים העסקיים. לא ידוע על ניצול בפועל; מומלץ לתעדף התקנת תיקון בהתאם להנחיות Oracle, ובינתיים לצמצם גישה לתשתית ולהגביל הרשאות גישה לקובצי ההתקנה.
חולשת CVE-2026-91313 ברכיב Installation Security של Oracle JD Edwards EnterpriseOne Tools בגרסאות 9.2.0.0–9.2.26.4 מאפשרת לתוקף לא מאומת בעל גישת HTTP להשתלט על המוצר, תוך סיכון לחשיפת מידע עסקי, לשינויו ולהשבתת תהליכים קריטיים; חומרתה CVSS 8.1, ניצולה מורכב ולא ידוע על ניצול בפועל. מומלץ לתעדף החלת עדכוני אבטחה בהתאם להנחיות Oracle, ובינתיים להגביל גישת HTTP למערכות המושפעות לגורמים מורשים בלבד ולנטר פעילות חריגה.
חולשת CVE-2026-91311 ברכיב Installation Security של Oracle JD Edwards EnterpriseOne Tools בגרסאות 9.2.0.0–9.2.26.5 מאפשרת לתוקף בעל הרשאות נמוכות וגישה מקומית לתשתית להשתלט על המוצר, תוך סיכון לחשיפת מידע עסקי, שינוי נתונים והשבתת תהליכים. אף שלא ידוע על ניצול בפועל, מומלץ לתעדף החלת תיקון בהתאם להנחיות Oracle, לצמצם גישה לתשתית ולהגביר ניטור אחר פעילות חריגה.
חולשת CVE-2026-91310 ב-Oracle JD Edwards EnterpriseOne Tools בגרסאות 9.2.0.0–9.2.26.5, בדירוג CVSS 8.8, מאפשרת לתוקף בעל הרשאות נמוכות וגישה ברשת דרך JDENET להשתלט על המוצר, תוך סיכון לחשיפת מידע עסקי, שינויו ושיבוש תהליכים תפעוליים. אף שלא ידוע על ניצול בפועל, מומלץ לתעדף החלת תיקוני Oracle בהתאם להנחיות היצרן, ובינתיים להגביל גישת JDENET למערכות מורשות בלבד ולנטר פעילות חריגה.
החולשה CVE-2026-91308 ברכיב Installation Security של Oracle JD Edwards EnterpriseOne Tools בגרסאות 9.2.0.0–9.2.26.5 מאפשרת לתוקף לא מאומת בעל גישה דרך Oracle Net לחשוף מידע קריטי ואף את כלל הנתונים הנגישים למוצר, בסיכון לדליפת מידע עסקי רגיש. אף שלא ידוע על ניצול בפועל, מומלץ לתעדף החלת תיקון בהתאם להנחיות Oracle ולהגביל גישת Oracle Net למערכות ולגורמים מורשים בלבד.
חולשת CVE-2026-91307 ברכיב Installation Security של Oracle JD Edwards EnterpriseOne Tools בגרסאות 9.2.0.0–9.2.26.5 מאפשרת לתוקף לא מאומת בעל גישת רשת דרך Oracle Net להשיג גישה בלתי מורשית למידע קריטי ואף לכל המידע הנגיש למוצר, ולחשוף מידע עסקי רגיש. חומרת החולשה היא CVSS 7.5 ולא ידוע על ניצול בפועל; מומלץ להחיל את עדכוני האבטחה של Oracle בהקדם, להגביל גישת Oracle Net למקורות מורשים בלבד ולנטר גישה חריגה למידע.
חולשת CVE-2026-91306 ברכיב Installation Security של Oracle JD Edwards EnterpriseOne Tools בגרסאות 9.2.0.0–9.2.26.5 מאפשרת לתוקף בעל הרשאות נמוכות וגישה מקומית לתשתית להשתלט על המוצר, תוך סיכון לחשיפת מידע עסקי, שינויו והשבתת תהליכים תפעוליים. אף שלא ידוע על ניצול בפועל, מומלץ לתעדף התקנת תיקון אבטחה של Oracle בהתאם להנחיות היצרן, ובינתיים לצמצם הרשאות וגישה לתשתית המארחת.
חולשת CVE-2026-91304 ברכיב Installation Security של Oracle JD Edwards EnterpriseOne Tools בגרסאות 9.2.0.0–9.2.26.5 מאפשרת לתוקף ללא הזדהות למוצר, אך עם גישת כניסה לתשתית שעליה הוא פועל ובכפוף לאינטראקציית משתמש, להשתלט על המוצר ולפגוע בסודיות המידע, בשלמותו וברציפות הפעילות העסקית. לא ידוע על ניצול בפועל; מומלץ לתעדף החלת תיקון בהתאם להנחיות Oracle, ובינתיים לצמצם גישה לתשתית ולנטר פעילות חריגה.
חולשת CVE-2026-91303 ברכיב Installation Security של Oracle JD Edwards EnterpriseOne Tools בגרסאות 9.2.0.0–9.2.26.5, בדירוג CVSS 8.8, מאפשרת לתוקף לא מאומת דרך HTTP, בכפוף לאינטראקציה אנושית, להשתלט על המוצר ולסכן מידע עסקי, שלמות נתונים ורציפות תפעולית. אף שלא ידוע על ניצול בפועל, מומלץ לתעדף החלת עדכון אבטחה בהתאם להנחיות Oracle, ובינתיים לצמצם גישת HTTP למערכת לגורמים מורשים בלבד.
חולשת CVE-2026-91296 ב-Oracle JD Edwards EnterpriseOne Tools בגרסאות 9.2.0.0–9.2.26.5, בחומרת CVSS 8.8, מאפשרת לתוקף לא מאומת דרך HTTP, בכפוף לאינטראקציה של משתמש, להשתלט על המוצר ולפגוע בסודיות המידע, בשלמותו וברציפות התהליכים העסקיים. אף שלא ידוע על ניצול בפועל, מומלץ לתעדף החלת עדכון אבטחה בהתאם להנחיות Oracle, ובינתיים לצמצם גישה רשתית למערכת לגורמים מורשים בלבד.
חולשת CVE-2026-91295 ב-Oracle JD Edwards EnterpriseOne Tools, ברכיב Enterprise Infrastructure SEC בגרסאות 9.2.0.0–9.2.26.5, מאפשרת לתוקף בעל הרשאות נמוכות וגישה דרך HTTP להשתלט על המוצר, תוך סיכון לחשיפת מידע עסקי, שינויו והשבתת תהליכים קריטיים. חומרתה גבוהה (CVSS 8.8), ולמרות שלא ידוע על ניצול, מומלץ לתעדף החלת עדכון אבטחה בהתאם להנחיות Oracle, ובינתיים לצמצם גישת רשת והרשאות ולנטר פעילות חריגה.
חולשת CVE-2026-91288 ברכיב Interoperability SEC של Oracle JD Edwards EnterpriseOne Tools בגרסאות 9.2.0.0–9.2.26.5 מאפשרת לתוקף ללא הזדהות עם גישה ברשת דרך JDENET, בתנאי ניצול מורכבים, לקרוא, ליצור, לשנות או למחוק נתונים קריטיים, תוך סיכון לסודיות המידע העסקי ולאמינותו. לא ידוע על ניצול בפועל; מומלץ להחיל את עדכוני האבטחה הרלוונטיים של Oracle ולהגביל גישת JDENET למערכות מורשות בלבד.
חולשת CVE-2026-91287 ב-Oracle JD Edwards EnterpriseOne Tools, בגרסאות 9.2.0.0–9.2.26.5, מאפשרת לתוקף ללא הזדהות עם גישה למקטע התקשורת המקומי לקרוא, ליצור, לשנות או למחוק מידע קריטי, תוך סיכון לדלף מידע ולפגיעה בשלמות הנתונים העסקיים. חומרתה CVSS 8.1 ולא ידוע על ניצול בפועל; מומלץ לתעדף החלת עדכון אבטחה בהתאם להנחיות Oracle, ובינתיים לצמצם גישה למקטע הרשת הרלוונטי ולנטר גישה ושינויים חריגים במידע.
חולשת CVE-2026-91286 ב-Oracle JD Edwards EnterpriseOne Tools בגרסאות 9.2.0.0–9.2.26.5, בחומרה CVSS 8.2, מאפשרת לתוקף ללא הזדהות בעל גישה למקטע הרשת המקומי לחשוף מידע עסקי קריטי ולשנות או למחוק חלק מהנתונים, עם פוטנציאל לפגיעה במוצרים נוספים. אף שלא ידוע על ניצול בפועל, מומלץ לתעדף החלת תיקוני Oracle בהתאם לזמינותם, ובינתיים להגביל גישה למקטע הרשת הרלוונטי ולנטר גישה חריגה ושינויים בנתונים.
החולשה CVE-2026-91273 ב-Oracle JD Edwards EnterpriseOne Tools בגרסאות 9.2.0.0–9.2.26.5, בדירוג CVSS 8.6, מאפשרת לתוקף לא מאומת דרך HTTP גישה בלתי מורשית למידע קריטי ואף לכל המידע הנגיש למוצר, עם סיכון לחשיפת מידע עסקי רגיש ולהשפעה על מוצרים נוספים. אף שלא ידוע על ניצול בפועל, מומלץ לתעדף החלת תיקון אבטחה בהתאם להנחיות Oracle, ובינתיים להגביל גישה רשתית למערכת לגורמים מורשים ולנטר גישה חריגה למידע.
החולשה CVE-2026-91272 ברכיב Interoperability SEC של Oracle JD Edwards EnterpriseOne Tools בגרסאות 9.2.0.0–9.2.26.5 מאפשרת לתוקף לא מאומת דרך HTTPS, בתנאי ניצול מורכבים, לקרוא, ליצור, לשנות או למחוק מידע קריטי, באופן העלול לחשוף מידע עסקי ולפגוע בשלמות נתוני ה־ERP. אף שלא ידוע על ניצול בפועל, מומלץ לתעדף החלת עדכון אבטחה בהתאם להנחיות Oracle, ועד אז להגביל גישה רשתית למערכות המושפעות ולנטר גישה ושינויים חריגים בנתונים.
החולשה CVE-2026-91271 ב-Oracle JD Edwards EnterpriseOne Tools, בגרסאות 9.2.0.0–9.2.26.5 וברכיב Monitoring and Diagnostics SEC, מאפשרת לתוקף בעל הרשאות נמוכות וגישה דרך HTTP לקרוא, ליצור, לשנות או למחוק מידע קריטי, תוך סיכון לסודיות המידע העסקי ולאמינותו. אף שלא ידוע על ניצול בפועל, מומלץ לתעדף החלת עדכוני אבטחה בהתאם להנחיות Oracle, ובינתיים להגביל גישה רשתית למערכת ולבחון הרשאות משתמשים.
חולשת CVE-2026-91270 ב-Oracle JD Edwards EnterpriseOne Tools בגרסאות 9.2.0.0–9.2.26.5, בחומרה גבוהה (CVSS 8.8), מאפשרת לתוקף בעל הרשאות נמוכות וגישה ברשת דרך HTTP להשתלט על המוצר, תוך סיכון לחשיפת מידע עסקי, שינויו ושיבוש תהליכים תפעוליים. לא ידוע על ניצול בפועל; מומלץ לתעדף החלת עדכוני אבטחה של Oracle, ובינתיים לצמצם גישה לרכיב Monitoring and Diagnostics SEC ולנטר פעילות חריגה.
החולשה CVE-2026-91269 ב-Oracle JD Edwards EnterpriseOne Tools בגרסאות 9.2.0.0–9.2.26.5, בחומרה גבוהה (CVSS 8.1), מאפשרת לתוקף בעל הרשאות נמוכות וגישה דרך HTTP לקרוא, ליצור, לשנות או למחוק מידע קריטי, תוך סיכון לסודיות המידע העסקי ולשלמותו. אף שלא ידוע על ניצול בפועל, מומלץ לתעדף החלת תיקון בהתאם להנחיות Oracle, ובינתיים לצמצם גישה רשתית למערכת ולהגביר ניטור אחר גישה ושינויים חריגים בנתונים.
חולשת CVE-2026-91268 ברכיב Web Runtime SEC של Oracle JD Edwards EnterpriseOne Tools בגרסאות 9.2.0.0–9.2.26.5, בדירוג CVSS 8.8, מאפשרת לתוקף בעל הרשאות נמוכות וגישה דרך HTTP להשתלט על המוצר, תוך סיכון לחשיפת מידע עסקי, שינויו והשבתת תהליכים תפעוליים. אף שלא ידוע על ניצול בפועל, מומלץ לתעדף החלת עדכון אבטחה של Oracle בהתאם לזמינותו, ובינתיים לצמצם גישה לרכיב למשתמשים ולרשתות מורשים בלבד ולנטר פעילות חריגה.
חולשת CVE-2026-91267 ברכיב Interoperability SEC של Oracle JD Edwards EnterpriseOne Tools בגרסאות 9.2.0.0–9.2.26.5, בדירוג CVSS 8.6, מאפשרת לתוקף לא מאומת דרך SOAP לגשת למידע קריטי ואף לכל המידע הנגיש למוצר, עם סיכון לדליפת מידע עסקי רגיש ולהשפעה על מוצרים נוספים. אף שלא ידוע על ניצול בפועל, מומלץ לתעדף החלת עדכון אבטחה של Oracle, להגביל גישה לממשקי SOAP למקורות מורשים ולנטר גישה חריגה למידע.
החולשה CVE-2026-91266 ברכיב Monitoring and Diagnostics SEC של Oracle JD Edwards EnterpriseOne Tools בגרסאות 9.2.0.0–9.2.26.5, בחומרת CVSS 8.4, מאפשרת לתוקף בעל הרשאות נמוכות וגישה מקומית לתשתית לקרוא, לשנות ולמחוק נתונים קריטיים, תוך סיכון לדלף מידע, לפגיעה בשלמות הנתונים העסקיים ולהשפעה על מוצרים נוספים. אף שלא ידוע על ניצול, מומלץ לתעדף החלת עדכון אבטחה בהתאם להנחיות Oracle, לצמצם הרשאות וגישה לתשתית ולנטר גישה חריגה ושינויים בלתי מורשים בנתונים.
חולשת CVE-2026-91260 ברכיב E-Content Manager Catalog של Oracle E-Business Suite iProcurement בגרסאות 12.2.3–12.2.15 מאפשרת לתוקף בעל הרשאות גבוהות וגישה ברשת דרך HTTP להשתלט על iProcurement, תוך סיכון לחשיפת מידע, שינוי נתוני רכש והשבתת תהליכים עסקיים. לא ידוע על ניצול בפועל; מומלץ להחיל עדכוני אבטחה של Oracle בהתאם לזמינותם, להגביל גישה ברשת למערכת ולצמצם ולנטר שימוש בהרשאות גבוהות.
חולשת CVE-2026-91259 ברכיב OIM Legacy UI של Oracle Identity Manager בגרסאות 12.2.1.4.0 ו-14.1.2.1.0, בדירוג CVSS 8.8, מאפשרת לתוקף בעל הרשאות נמוכות וגישה דרך HTTP להשתלט על המערכת, תוך סיכון לסודיות ולשלמות נתוני הזהויות ולזמינות שירותי ניהול הגישה בארגון. אף שלא ידוע על ניצול בפועל, מומלץ לתעדף בדיקת חשיפה והחלת עדכוני אבטחה בהתאם להנחיות Oracle, ובינתיים להגביל גישה לרכיב ולנטר פעילות חריגה.
חולשת CVE-2026-91256 ברכיב Services של Oracle Solaris 11.4, בדירוג CVSS 7.1, מאפשרת לתוקף בעל הרשאות נמוכות וגישה דרך HTTP להשבית את המערכת ולקרוא חלק מהמידע הנגיש לה ללא הרשאה, תוך סיכון לרציפות העסקית ולסודיות המידע; לא ידוע על ניצול בפועל. מומלץ לתעדף התקנת עדכון אבטחה בהתאם להנחיות Oracle, ובינתיים להגביל גישת HTTP לשירותים הרלוונטיים ולנטר קריסות ופעילות חריגה.
CVE-2026-91253 היא חולשה ב-Kernel של Oracle Solaris 11.4 בחומרת CVSS 7.8, המאפשרת לתוקף מקומי בעל הרשאות נמוכות להשתלט על המערכת ולפגוע בסודיות המידע, בשלמותו ובזמינות שירותים עסקיים. לא ידוע על ניצול בפועל; מומלץ לתעדף החלת עדכוני אבטחה של Oracle בהתאם לזמינותם, ובינתיים לצמצם גישה מקומית ולנטר פעילות חריגה והסלמת הרשאות.
חולשת CVE-2026-91252 ברכיב Services של Oracle Solaris 11.4, בדירוג CVSS 8.2, מאפשרת לתוקף לא מאומת דרך HTTP להשבית את המערכת באופן מלא ולקרוא חלק מהמידע הנגיש לה, תוך סיכון לרציפות העסקית ולסודיות המידע. אף שלא ידוע על ניצול בפועל, מומלץ לתעדף התקנת עדכון אבטחה בהתאם להנחיות Oracle, ובינתיים לצמצם גישת HTTP לשירותים המושפעים ולנטר קריסות ופעילות חריגה.
חולשה קריטית CVE-2026-91251 ברכיב Adapters של Oracle SOA Suite בגרסאות 12.2.1.4.0 ו-14.1.2.0.0, בדירוג CVSS 9.9, מאפשרת לתוקף בעל הרשאות נמוכות וגישה ברשת דרך HTTP להשתלט על המוצר, תוך סיכון לחשיפת מידע, שינוי נתונים והשבתת תהליכים עסקיים, עם השפעה אפשרית גם על מוצרים נוספים. אף שלא ידוע על ניצול, מומלץ לתעדף בדחיפות זיהוי מערכות מושפעות והחלת עדכוני אבטחה בהתאם להנחיות Oracle, ובינתיים להגביל גישה למערכות ולחזק ניטור פעילות חריגה.
חולשה קריטית CVE-2026-91250 ברכיב Adapters של Oracle SOA Suite בגרסאות 12.2.1.4.0 ו-14.1.2.0.0, בדירוג CVSS 9.9, מאפשרת לתוקף בעל הרשאות נמוכות וגישה רשתית להשתלט על המערכת, תוך סיכון לדליפת מידע, פגיעה בשלמות הנתונים והשבתת תהליכים עסקיים, עם השפעה אפשרית על מוצרים נוספים. אף שלא ידוע על ניצול בפועל, מומלץ לתעדף בדחיפות איתור מערכות מושפעות והחלת עדכוני אבטחה בהתאם להנחיות Oracle, ובינתיים לצמצם גישה רשתית והרשאות למערכת.
חולשה קריטית CVE-2026-91243 ברכיב Fabric Layer של Oracle Business Process Management Suite בגרסאות 12.2.1.4.0 ו-14.1.2.0.0, בדירוג CVSS 9.6, מאפשרת לתוקף בעל הרשאות נמוכות וגישה דרך HTTP לקרוא, ליצור, לשנות או למחוק מידע קריטי ללא הרשאה, תוך סיכון לדלף מידע, לפגיעה בשלמות הנתונים והתהליכים העסקיים ולהשפעה על מוצרים נוספים. אף שלא ידוע על ניצול בפועל, מומלץ לתעדף בדחיפות החלת תיקוני Oracle ככל שזמינים, להגביל גישת HTTP למערכת לגורמים מורשים בלבד ולנטר גישה ושינויים חריגים בנתונים.
CVE-2026-91242 ברכיב Plugins של Oracle Solaris 11.4 מאפשרת לתוקף בעל הרשאות גבוהות וגישה מקומית, בשילוב אינטראקציה של משתמש אחר, לקרוא ולשנות מידע קריטי ללא הרשאה, עם סיכון לדלף מידע, לפגיעה בשלמות הנתונים ולהשפעה על מוצרים נוספים. אף שלא ידוע על ניצול, מומלץ לבדוק זמינות עדכון אבטחה של Oracle וליישמו בהקדם, לצמצם גישה והרשאות ניהול ולנטר פעילות חריגה בחשבונות מיוחסים.
חולשה קריטית CVE-2026-91241 בדירוג CVSS 9.1 ברכיב Analytics Web Administration של Oracle Business Intelligence Enterprise Edition מאפשרת לתוקף בעל הרשאות גבוהות וגישה ברשת דרך HTTP להשתלט על המערכת, תוך סיכון לחשיפת מידע עסקי, שיבוש נתונים והשבתת שירותים, עם אפשרות להשפעה על מוצרים נוספים. מומלץ לאתר מערכות בגרסאות 8.2.0.0.0, 12.2.1.4.0 ו־26.01.0.0.0, לבדוק ולהחיל תיקוני Oracle זמינים בעדיפות גבוהה, ובינתיים להגביל גישה לממשק הניהול ולנטר פעילות חריגה של חשבונות בעלי הרשאות גבוהות; לא ידוע על ניצול בפועל.
חולשת CVE-2026-91239 ברכיב Fabric Layer של Oracle SOA Suite בגרסאות 12.2.1.4.0 ו-14.1.2.0.0, בדירוג CVSS 8.8, מאפשרת לתוקף בעל הרשאות נמוכות וגישה רשתית להשתלט על המוצר, תוך סיכון לחשיפת מידע, שינויו ושיבוש תהליכים עסקיים. אף שלא ידוע על ניצול בפועל, מומלץ לתעדף החלת עדכוני אבטחה של Oracle בהתאם לזמינותם, לצמצם גישה רשתית והרשאות למערכת ולנטר פעילות חריגה.
CVE-2026-91238 ברכיב Fabric Layer של Oracle SOA Suite בגרסאות 12.2.1.4.0 ו-14.1.2.0.0 מאפשרת לתוקף בעל הרשאות נמוכות וגישה דרך HTTP ליצור, לשנות או למחוק נתונים ללא הרשאה ולגרום להשבתה חלקית, תוך סיכון לשלמות נתונים עסקיים ולרציפות השירות. אף שלא ידוע על ניצול בפועל, מומלץ לתעדף החלת עדכוני אבטחה בהתאם להנחיות Oracle, לצמצם גישה רשתית והרשאות ולנטר שינויים חריגים בנתונים.
חולשת CVE-2026-91237 ברכיב Fabric Layer של Oracle SOA Suite בגרסאות 12.2.1.4.0 ו-14.1.2.0.0 מאפשרת לתוקף לא מאומת דרך HTTP לגשת למידע קריטי או לכלל הנתונים הנגישים למוצר, בסיכון לדליפת מידע עסקי רגיש ולחשיפה רגולטורית. אף שלא ידוע על ניצול בפועל, מומלץ לתעדף החלת עדכוני אבטחה של Oracle, ובינתיים להגביל גישה רשתית למערכות המושפעות ולנטר גישות חריגות.
חולשה קריטית CVE-2026-91232 ברכיב Fabric Layer של Oracle SOA Suite בגרסאות 12.2.1.4.0 ו-14.1.2.0.0, בדירוג CVSS 9.9, מאפשרת לתוקף בעל הרשאות נמוכות וגישה דרך HTTP להשתלט על המערכת, עם סיכון לחשיפת מידע, שינוי נתונים והשבתת תהליכים עסקיים, וכן להשפעה על מוצרים נוספים. אף שלא ידוע על ניצול בפועל, מומלץ לתעדף בדחיפות בדיקת חשיפה והחלת תיקוני אבטחה של Oracle ככל שזמינים, ובינתיים להגביל גישת רשת למערכת ולצמצם הרשאות.
חולשה קריטית CVE-2026-91231 ברכיב Adapters של Oracle SOA Suite בגרסאות 12.2.1.4.0 ו-14.1.2.0.0, בדירוג CVSS 10.0, מאפשרת לתוקף לא מאומת דרך HTTP להשתלט על המערכת, תוך סיכון לחשיפת מידע, שיבוש תהליכים עסקיים ופגיעה במוצרים נוספים. אף שלא ידוע על ניצול בפועל, מומלץ לתעדף בדיקה והחלה של תיקוני Oracle הרלוונטיים, ובינתיים לצמצם גישת HTTP למערכות המושפעות ולנטר פעילות חריגה.
חולשה קריטית CVE-2026-91230 ברכיב Fabric Layer של Oracle SOA Suite בגרסאות 12.2.1.4.0 ו-14.1.2.0.0 מאפשרת לתוקף לא מאומת דרך HTTP לגשת למידע רגיש ולשנות או למחוק חלק מהנתונים, עם פוטנציאל להשפעה על מוצרים נוספים ולפגיעה בסודיות המידע ובשלמות תהליכים עסקיים. אף שלא ידוע על ניצול בפועל, מומלץ לתעדף בדחיפות החלת תיקון אבטחה של Oracle ככל שזמין, ובינתיים להגביל גישה לרשתות ולגורמים מורשים ולנטר גישה חריגה לנתונים.
חולשת CVE-2026-91229 ברכיב Fabric Layer של Oracle SOA Suite בגרסאות 12.2.1.4.0 ו-14.1.2.0.0 מאפשרת לתוקף בעל הרשאות נמוכות וגישה דרך HTTP להשתלט על המוצר, בניצול מורכב שעלול להוביל לחשיפת מידע, לשינויו ולהשבתת תהליכים עסקיים. אף שלא ידוע על ניצול בפועל, מומלץ לתעדף החלת עדכוני אבטחה של Oracle בהתאם לזמינותם, ובינתיים לצמצם גישת HTTP למערכות המושפעות ולהדק הרשאות וניטור פעילות חריגה.
חולשת CVE-2026-91228 ברכיב Fabric Layer של Oracle SOA Suite בגרסאות 12.2.1.4.0 ו-14.1.2.0.0 מאפשרת לתוקף בעל הרשאות נמוכות וגישה דרך HTTP לקרוא מידע קריטי ואף את כלל המידע הנגיש למערכת, ולשנות או למחוק חלק ממנו, תוך סיכון לסודיות המידע העסקי ולאמינותו. אף שלא ידוע על ניצול בפועל, מומלץ לתעדף החלת עדכוני אבטחה של Oracle בהתאם לזמינותם, לצמצם גישה רשתית למערכת ולהדק הרשאות וניטור פעילות חריגה.
חולשת CVE-2026-91227 ברכיב Fabric Layer של Oracle SOA Suite בגרסאות 12.2.1.4.0 ו-14.1.2.0.0 מאפשרת לתוקף בעל הרשאות נמוכות וגישה ברשת דרך HTTP להשתלט על המערכת, בתנאי ניצול מורכבים, ולפגוע בסודיות המידע, בשלמותו ובזמינות תהליכים עסקיים. אף שלא ידוע על ניצול בפועל, מומלץ לתעדף החלת עדכוני אבטחה בהתאם להנחיות Oracle, לצמצם גישה רשתית למערכת ולבחון הרשאות משתמשים.
החולשה CVE-2026-91226 ברכיב Fabric Layer של Oracle SOA Suite בגרסאות 12.2.1.4.0 ו-14.1.2.0.0 מאפשרת לתוקף בעל הרשאות נמוכות וגישה דרך HTTP להשתלט על המערכת, בניצול מורכב שעלול להוביל לחשיפת מידע, לשינויו ולשיבוש תהליכים עסקיים ואינטגרציות. אף שלא ידוע על ניצול בפועל, מומלץ לתעדף החלת תיקוני Oracle בהתאם לזמינותם, ובינתיים להגביל גישת HTTP למערכות המושפעות ולצמצם הרשאות.
חולשה קריטית CVE-2026-91225 ברכיב Adapters של Oracle SOA Suite בגרסאות 12.2.1.4.0 ו-14.1.2.0.0, בדירוג CVSS 9.1, מאפשרת לתוקף לא מאומת דרך HTTP ליצור, לשנות או למחוק נתונים ולהשבית את המערכת, תוך סיכון לשלמות מידע עסקי ולרציפות התפעולית. לא ידוע על ניצול בפועל; מומלץ לתעדף החלת תיקוני Oracle הרלוונטיים ובינתיים להגביל גישת HTTP למערכות המושפעות למקורות מהימנים בלבד.
חולשה קריטית CVE-2026-91224 ברכיב Fabric Layer של Oracle SOA Suite בגרסאות 12.2.1.4.0 ו-14.1.2.0.0, בדירוג CVSS 9.9, מאפשרת לתוקף בעל הרשאות נמוכות וגישה דרך HTTP להשתלט על המוצר, תוך סיכון לדליפת מידע, פגיעה בשלמותו והשבתת תהליכים עסקיים, עם השפעה אפשרית על מוצרים נוספים. אף שלא ידוע על ניצול בפועל, מומלץ לתעדף בדיקת חשיפה והחלת עדכוני אבטחה בהתאם להנחיות Oracle, ובינתיים לצמצם גישה רשתית למערכות המושפעות ולנטר פעילות חריגה.
חולשת CVE-2026-91223 ברכיב Fabric Layer של Oracle SOA Suite בגרסאות 12.2.1.4.0 ו-14.1.2.0.0, בדירוג CVSS 8.8, מאפשרת לתוקף בעל הרשאות נמוכות וגישה דרך HTTP להשתלט על המוצר, תוך סיכון לחשיפת מידע, שינויו והשבתת תהליכים עסקיים. אף שלא ידוע על ניצול בפועל, מומלץ לתעדף החלת עדכוני האבטחה של Oracle בהתאם לזמינותם, ובינתיים לצמצם גישה רשתית והרשאות למערכת.
CVE-2026-91222 היא חולשה קריטית (CVSS 9.9) ברכיב Human Workflow של Oracle Business Process Management Suite בגרסאות 12.2.1.4.0 ו-14.1.2.0.0, המאפשרת לתוקף בעל הרשאות נמוכות וגישה רשתית דרך SOAP להשתלט על המערכת, לפגוע בסודיות ובשלמות המידע ולשבש תהליכים עסקיים, עם השפעה אפשרית גם על מוצרים נוספים. אף שלא ידוע על ניצול, מומלץ לתעדף בדחיפות החלת תיקוני Oracle בהתאם לזמינותם, ובינתיים להגביל גישה לממשקי SOAP ולנטר פעילות חריגה.
חולשה קריטית CVE-2026-91221 בדירוג CVSS 10 ברכיב Fabric Layer של Oracle SOA Suite בגרסאות 12.2.1.4.0 ו-14.1.2.0.0 מאפשרת לתוקף לא מאומת בעל גישת רשת דרך T3 או IIOP להשתלט על המערכת, עם סיכון לחשיפת מידע, שיבוש תהליכים עסקיים ופגיעה במוצרים נוספים. אף שלא ידוע על ניצול, מומלץ לתעדף בדחיפות החלת תיקוני Oracle בהתאם להנחיות היצרן, ובינתיים להגביל גישה לפרוטוקולים אלו למקורות מורשים בלבד ולנטר פעילות חריגה.
חולשת CVE-2026-91219 ברכיב Fabric Layer של Oracle SOA Suite בגרסאות 12.2.1.4.0 ו-14.1.2.0.0, בדירוג CVSS 8.6, מאפשרת לתוקף לא מאומת דרך HTTP לגשת למידע קריטי או לכל הנתונים הנגישים למוצר, עם סיכון לדליפת מידע עסקי ולהשפעה על מוצרים נוספים. אף שלא ידוע על ניצול, מומלץ לתעדף התקנת עדכוני אבטחה של Oracle בהתאם לזמינותם, ובינתיים להגביל גישת HTTP למערכות המושפעות לגורמים מורשים בלבד.
CVE-2026-91218 היא חולשה קריטית (CVSS 9.6) ברכיב Fabric Layer של Oracle SOA Suite בגרסאות 12.2.1.4.0 ו-14.1.2.0.0, המאפשרת לתוקף בעל הרשאות נמוכות וגישה דרך HTTP לקרוא, לשנות ולמחוק מידע קריטי, עם סיכון לדלף מידע, לפגיעה בשלמות הנתונים ולהשפעה על מוצרים נוספים. אף שלא ידוע על ניצול בפועל, מומלץ לתעדף עדכון אבטחה בהתאם להנחיות Oracle, ובינתיים לצמצם גישה לרכיב ולהדק ניטור של גישה ושינויים חריגים בנתונים.
חולשת CVE-2026-91217 ברכיב Fabric Layer של Oracle SOA Suite בגרסאות 12.2.1.4.0 ו-14.1.2.0.0, בחומרת CVSS 8.6, מאפשרת לתוקף לא מאומת דרך HTTP גישה בלתי מורשית למידע קריטי או לכל המידע הנגיש למוצר, עם סיכון לדלף מידע עסקי ולהשפעה על מוצרים נוספים. אף שלא ידוע על ניצול בפועל, מומלץ לתעדף החלת עדכוני אבטחה של Oracle בהתאם לזמינותם, ובינתיים להגביל גישת HTTP למערכות המושפעות למקורות מורשים בלבד.
CVE-2026-91216 היא חולשה קריטית בדירוג CVSS 10 ברכיב Fabric Layer של Oracle SOA Suite בגרסאות 12.2.1.4.0 ו-14.1.2.0.0, המאפשרת לתוקף לא מאומת דרך T3 ו-IIOP להשתלט על המערכת, עם סיכון לחשיפת מידע, פגיעה בשלמותו והשבתת תהליכים עסקיים, ואף השפעה על מוצרים נוספים. אף שלא ידוע על ניצול בפועל, מומלץ לתעדף בדחיפות החלת עדכוני אבטחה של Oracle בהתאם לזמינותם, ובינתיים להגביל גישה לפרוטוקולים אלה למקורות מורשים בלבד ולנטר פעילות חריגה.
CVE-2026-91215 היא חולשה בחומרה גבוהה (CVSS 8.8) ברכיב Fabric Layer של Oracle SOA Suite בגרסאות 12.2.1.4.0 ו-14.1.2.0.0, המאפשרת לתוקף בעל הרשאות נמוכות וגישה רשתית דרך HTTP להשתלט על המערכת ולפגוע בסודיות המידע, בשלמותו וברציפות תהליכים עסקיים. אף שלא ידוע על ניצול בפועל, מומלץ לתעדף החלת תיקוני Oracle בהתאם להנחיות היצרן, ובינתיים להגביל גישה רשתית למערכות המושפעות ולנטר פעילות חריגה.
חולשת CVE-2026-91213 ברכיב BPM Composer של Oracle Business Process Management Suite בגרסאות 12.2.1.4.0 ו-14.1.2.0.0, בחומרת CVSS 8.8, מאפשרת לתוקף בעל הרשאות נמוכות וגישה דרך HTTP להשתלט על המערכת, עם סיכון לחשיפת מידע, לשינוי תהליכים עסקיים ולהשבתתם; לא ידוע על ניצול בפועל. מומלץ לתעדף החלת עדכוני האבטחה של Oracle, ועד להשלמתם לצמצם גישת רשת לרכיב למקורות מורשים בלבד ולנטר פעילות חריגה.
CVE-2026-91212 ברכיב Generic REST של Oracle Identity Manager Connector בגרסאות 12.2.1.4.0 ו-14.1.2.1.0 היא חולשה בחומרה גבוהה (CVSS 8.6), המאפשרת לתוקף לא מאומת דרך HTTP לגשת למידע קריטי ואף לכל המידע הנגיש למחבר, עם סיכון לדליפת מידע עסקי רגיש ולהשפעה על מוצרים נוספים. אף שלא ידוע על ניצול, מומלץ לתעדף יישום עדכוני אבטחה בהתאם להנחיות Oracle, ובינתיים להגביל גישת HTTP למחבר למקורות מורשים ולנטר גישה חריגה למידע.
החולשה CVE-2026-91211 ב-Oracle Identity Manager Connector בגרסאות 12.2.1.4.0 ו-14.1.2.1.0 מאפשרת לתוקף בעל הרשאות גבוהות וגישה ברשת דרך SOAP לקרוא, ליצור, לשנות או למחוק מידע קריטי ללא הרשאה, עם פוטנציאל להשפעה על מוצרים נוספים ולפגיעה בסודיות ובשלמות המידע העסקי. אף שלא ידוע על ניצול בפועל, מומלץ לתעדף החלת עדכוני אבטחה בהתאם להנחיות Oracle, לצמצם גישת SOAP למקורות מורשים בלבד ולבחון הרשאות גבוהות ופעילות חריגה.
חולשת CVE-2026-87397 ברכיב Outside In Core של Oracle Outside In Technology בגרסה 8.5.8, בדירוג CVSS 8.8, מאפשרת לתוקף לא מאומת דרך HTTP ובכפוף לאינטראקציה של משתמש להשתלט על המוצר, תוך סיכון לחשיפת מידע, שינויו והשבתת שירותים. אף שלא ידוע על ניצול בפועל, מומלץ לאתר מערכות מושפעות, לתעדף החלת תיקון בהתאם להנחיות Oracle ולצמצם חשיפה לרשת עד להשלמת הטיפול.
חולשת CVE-2026-87394 ברכיב Outside In Core של Oracle Outside In Technology בגרסה 8.5.8, בדירוג CVSS 8.2, מאפשרת לתוקף לא מאומת דרך HTTP לגשת למידע קריטי או לכל המידע הנגיש למוצר ולגרום להשבתה חלקית, תוך סיכון לדליפת מידע עסקי ולפגיעה ברציפות השירות. לא ידוע על ניצול בפועל; מומלץ לתעדף עדכון בהתאם להנחיות Oracle, ועד להשלמתו להגביל גישת רשת לרכיב ולנטר פעילות חריגה.
חולשת CVE-2026-87364 ברכיב Core של Oracle Service Bus בגרסאות 12.2.1.4.0 ו-14.1.2.0.0, בחומרה גבוהה (CVSS 8.8), מאפשרת לתוקף בעל הרשאות נמוכות וגישה דרך HTTP להשתלט על המוצר, תוך סיכון לחשיפת מידע, שינויו והשבתת תהליכים עסקיים התלויים בו. אף שלא ידוע על ניצול בפועל, מומלץ לתעדף החלת עדכוני האבטחה של Oracle, ובינתיים לצמצם גישת HTTP למערכות הרלוונטיות ולהגביל הרשאות משתמשים.
חולשת Use-after-free ברכיב Performance של Google Chrome בגרסאות הקודמות ל-156.0.8078.47 מאפשרת לתוקף מרוחק להריץ קוד בתוך ה-sandbox באמצעות דף HTML זדוני, ומסכנת תחנות קצה ארגוניות ללא יכולת מוכחת לפרוץ את גבולות ה-sandbox. מומלץ לעדכן בהקדם לגרסה 156.0.8078.47 ומעלה ולוודא פריסה בכל התחנות; לא ידוע על ניצול בפועל.
חולשת אימות קלט ברכיב Extensions ב-Google Chrome בגרסאות הקודמות ל-156.0.8078.47 עלולה לאפשר לתוקף מרוחק להריץ קוד שרירותי בתוך ה-sandbox באמצעות דף HTML זדוני, ולסכן מידע ותהליכי עבודה בדפדפן; לא ידוע על ניצול בפועל. מומלץ לעדכן לגרסה 156.0.8078.47 ומעלה ולוודא את השלמת העדכון בכלל תחנות הקצה בארגון.
CVE-2026-113220 היא חולשת Memory corruption ברכיב Extensions ב-Google Chrome על Android בגרסאות הקודמות ל-156.0.8078.47, העלולה לאפשר לתוקף מרוחק להריץ קוד בתוך ה-sandbox באמצעות דף HTML זדוני ולסכן מידע ופעילות בדפדפן, ללא עדות לפריצה מחוץ ל-sandbox. אף שלא ידוע על ניצול בפועל, מומלץ לתעדף עדכון לגרסה 156.0.8078.47 ומעלה ולוודא את פריסתו במכשירי Android ארגוניים.
חולשת השחתת זיכרון ברכיב ANGLE ב-Google Chrome בגרסאות שלפני 156.0.8078.47 מאפשרת לתוקף מרוחק לקרוא זיכרון באמצעות דף HTML זדוני, ועלולה להוביל לחשיפת מידע רגיש מהדפדפן; לא ידוע על ניצול בפועל. מומלץ לעדכן את Chrome לגרסה 156.0.8078.47 ומעלה ולוודא את השלמת העדכון בתחנות הארגון.
חולשת השחתת זיכרון ברכיב Extensions ב-Google Chrome בגרסאות הקודמות ל-156.0.8078.47 עלולה לאפשר לתוקף מרוחק לקרוא זיכרון בתוך ה-sandbox באמצעות דף HTML זדוני, ולחשוף מידע רגיש מתחנות קצה ארגוניות. לא ידוע על ניצול בפועל; מומלץ לעדכן לגרסה 156.0.8078.47 ומעלה ולוודא את השלמת העדכון בכלל התחנות המנוהלות.
CVE-2026-113128 היא חולשת הרשאות ברכיב Animation ב-Google Chrome בגרסאות הקודמות ל-156.0.8078.47, המאפשרת לתוקף מרוחק לעקוף את מדיניות ה-Web Origin באמצעות דף HTML זדוני ועלולה להוביל לחשיפת מידע בין אתרים ולפגיעה בסודיות מידע ארגוני. לא ידוע על ניצול בפועל; מומלץ לעדכן לגרסה 156.0.8078.47 ומעלה ולוודא את השלמת העדכון והפעלה מחדש של הדפדפן בתחנות הארגון.
חולשת CVE-2026-0322 ב-Palo Alto Networks PAN-OS, בדירוג CVSS 8.6 ומנוצלת בפועל לפי CISA KEV, מאפשרת לתוקף מאומת בעל גישה לממשק הניהול להריץ קוד בהרשאות root במוצרי PA-Series, VM-Series ו-Panorama, תוך סיכון להשתלטות על מערך האבטחה, חשיפת מידע ושיבוש פעילות עסקית. מומלץ לתעדף בדחיפות התקנת עדכוני אבטחה בהתאם להנחיות היצרן, להגביל את הגישה לממשק הניהול לכתובות IP פנימיות מהימנות בלבד ולבדוק סימני ניצול; Cloud NGFW ו-Prisma Access אינם מושפעים.
חולשת Stored XSS ב-Adobe Experience Manager (CVE-2026-106630, CVSS 9.3) מאפשרת הזרקת JavaScript זדוני לשדות טופס והרצתו בדפדפן המבקר, עם סיכון להשתלטות על חשבונות או Sessions, לחשיפת מידע ולביצוע פעולות בלתי מורשות; לא ידוע על ניצול בפועל. מומלץ לבדוק חשיפה וגרסאות מושפעות מול הנחיות Adobe, להחיל עדכון אבטחה ככל שזמין ולנטר הזרקות ותוכן חשוד בשדות טופס.
חולשת Stored XSS ב-Adobe Experience Manager (CVE-2026-106629, CVSS 9.3) מאפשרת הזרקת JavaScript לשדות טופס והרצתו בדפדפן המבקר, באופן שעלול להוביל להשתלטות על חשבונות או Sessions, לחשיפת מידע ולפעולות בלתי מורשות; לא ידוע על ניצול בפועל. מומלץ לתעדף בדיקת חשיפה והחלת עדכון אבטחה בהתאם להנחיות Adobe, ובינתיים להגביל גישה לטפסים פגיעים ולנטר הזרקות סקריפטים ופעילות חריגה בחשבונות.
חולשת Improper Input Validation ב-Adobe Experience Manager (CVE-2026-106626, CVSS 9.1) מאפשרת לתוקף בעל הרשאות גבוהות להריץ קוד שרירותי בהקשר המשתמש הנוכחי ללא אינטראקציית משתמש, עם פוטנציאל לפגיעה במידע, בזמינות השירות וברכיבים מעבר לגבול האבטחה של הרכיב הפגיע; לא ידוע על ניצול בפועל. מומלץ לבדוק מול Adobe אילו גרסאות מושפעות ולהחיל עדכוני אבטחה בהתאם לזמינותם, ובינתיים לצמצם הרשאות וגישה לממשקי ניהול ולנטר פעילות חריגה של חשבונות בעלי הרשאות גבוהות.
חולשת Improper Input Validation ב-Adobe Experience Manager (CVE-2026-105895, CVSS 9.9) מאפשרת הרצת קוד שרירותי בהרשאות המשתמש הנוכחי ללא אינטראקציה מצדו, ועלולה להוביל להשתלטות על חשבון או Session, לחשיפת מידע ולשיבוש פעילות עסקית; לא ידוע על ניצול בפועל. מומלץ לבדוק מיידית את תחולת החולשה מול פרסומי Adobe, להחיל עדכון אבטחה ככל שזמין, ובינתיים לצמצם חשיפה והרשאות ולתגבר ניטור לפעילות חריגה.
CVE-2026-69639 היא חולשת Heap-based buffer overflow ב-Windows Libarchive המשפיעה על Windows 10 1809, בחומרה קריטית של CVSS 9.8, ומאפשרת לתוקף לא מורשה להריץ קוד דרך הרשת, עם סיכון להשתלטות על מערכות, דלף מידע והשבתת פעילות; לא ידוע על ניצול בפועל. מומלץ למפות מערכות מושפעות, לבדוק זמינות עדכון אבטחה של Microsoft ולהחילו בדחיפות, ובינתיים לצמצם חשיפה רשתית ולהגביל עיבוד קובצי ארכיון ממקורות לא מהימנים.
CVE-2026-69634 היא חולשת Heap-based buffer overflow ברכיב Windows iSCSI ב-Microsoft Windows 10 1607, בחומרה קריטית של CVSS 9.8, המאפשרת לתוקף ללא הרשאה להריץ קוד מרחוק ולסכן מידע ורציפות עסקית; לא ידוע על ניצול בפועל. מומלץ לזהות מערכות חשופות, להחיל עדכון אבטחה של Microsoft ככל שזמין, ועד לתיקון להגביל גישה לרכיב ברשת ולנטר פעילות חריגה.
CVE-2026-105010 היא חולשת Use-after-free ב-Microsoft Windows Search Component ב-Windows 10 1607, בדירוג CVSS 9.8, המאפשרת לתוקף ללא הרשאה להעלות הרשאות דרך הרשת ועלולה להוביל להשתלטות על מערכות ולפגיעה במידע וברציפות העסקית; לא ידוע על ניצול בפועל. מומלץ לתעדף איתור מערכות מושפעות, לבדוק זמינות עדכון אבטחה של Microsoft ולהחילו בהקדם, ועד אז לצמצם חשיפה רשתית של השירות ולנטר פעילות חריגה.
חולשת Path Traversal קריטית ב-IBM DataStage on Cloud Pak for Data בגרסה 5.4.0.0, בדירוג CVSS 9.6, עלולה לאפשר לתוקף מרוחק ומאומת להריץ קוד שרירותי, ולסכן את סודיות הנתונים, שלמותם ורציפות תהליכי עיבוד הנתונים; לא ידוע על ניצול בפועל. מומלץ לבדוק זמינות תיקון רשמי של IBM ולהחילו בעדיפות גבוהה, ובינתיים להגביל גישה והרשאות למערכת ולנטר פעילות חריגה של משתמשים מאומתים.
חולשת CVE-2026-82103 ב-IBM DataStage on Cloud Pak for Data בגרסה 5.4.0.0, בדירוג CVSS 9.6, מאפשרת לתוקף מרוחק ומאומת להיחשף למידע רגיש ללא הרשאה, עם סיכון לדלף מידע עסקי ולפגיעה בסודיות הנתונים; לא ידוע על ניצול בפועל. מומלץ לבדוק הנחיות ועדכוני אבטחה של IBM ולהחיל תיקון כשיהיה זמין, ובינתיים לצמצם הרשאות וגישה למערכת ולנטר גישה חריגה למידע.
חולשת Path Traversal מסוג CVE-2026-82101 ב-IBM DataStage on Cloud Pak for Data בגרסה 5.4.0.0, בדירוג CVSS 9.6, מאפשרת לתוקף מרוחק ומאומת לגרום ל-Denial of Service ולשבש תהליכי עיבוד נתונים עסקיים; לא ידוע על ניצול בפועל. מומלץ לבדוק זמינות תיקון או הנחיות מיתון של IBM וליישמם בעדיפות גבוהה, ובינתיים לצמצם גישה והרשאות לשירות ולנטר פעילות חריגה ופגיעה בזמינות.
CVE-2026-69435 היא חולשת Missing Authorization ב-Azure SRE Agent של Microsoft בחומרה קריטית (CVSS 9.6), המאפשרת לתוקף בעל גישה מורשית להסלים הרשאות דרך הרשת ועלולה להוביל לגישה לא מורשית למשאבים ולפגיעה בפעילות העסקית; לא ידוע על ניצול בפועל. מומלץ לבדוק את הנחיות Microsoft ולעדכן בהתאם לזמינות תיקון, ובינתיים לצמצם הרשאות וגישה לשירות ולנטר פעילות חריגה ושינויי הרשאות.
חולשת עקיפת אימות קריטית CVE-2026-19491 בדירוג CVSS 9.1 ב-IBM Security Verify Access בגרסאות 10.0–10.0.9.2 וב-IBM Verify Identity Access בגרסאות 11.0–11.0.3 עלולה לאפשר לתוקף מרוחק גישה בלתי מורשית ולסכן מערכות ומידע עסקי; לא ידוע על ניצול בפועל. מומלץ לאתר התקנות מושפעות, לתעדף החלת תיקון בהתאם להנחיות IBM, ובינתיים לצמצם חשיפה לרשת ולנטר גישות חריגות.
חולשת CVE-2026-16916 בחומרה קריטית (CVSS 9.1) ב-IBM Security Verify Access בגרסאות 10.0–10.0.9.2 וב-IBM Verify Identity Access בגרסאות 11.0–11.0.3 מאפשרת לתוקף מרוחק ומאומת להריץ קוד שרירותי עקב כשל במנגנון הגנה, ומסכנת את סודיות המידע ואת רציפות שירותי ניהול הזהויות והגישה. אף שלא ידוע על ניצול בפועל, מומלץ למפות מערכות מושפעות, לתעדף החלת תיקוני אבטחה בהתאם להנחיות IBM, ובינתיים לצמצם גישה והרשאות ולנטר פעילות חריגה.
חולשת אימות קריטית CVE-2026-16823 בדירוג CVSS 9.1 ב-IBM Security Verify Access בגרסאות 10.0–10.0.9.2 וב-IBM Verify Identity Access בגרסאות 11.0–11.0.3 מאפשרת לתוקף מרוחק לעקוף מגבלות אבטחה, ועלולה להוביל לגישה בלתי מורשית למערכות ולמידע עסקי. אף שלא ידוע על ניצול בפועל, מומלץ למפות בדחיפות מערכות מושפעות, ליישם עדכוני אבטחה בהתאם להנחיות IBM, ועד להשלמת הטיפול לצמצם חשיפה ולהגביר ניטור של פעילות אימות וגישה חריגה.
חולשת Stored XSS ב-IBM Guardium Data Protection 12.2 (CVE-2026-84244, CVSS 9.3) מאפשרת לתוקף ללא הזדהות, המסוגל להשפיע על תעבורת מסד נתונים מנוטרת, להריץ סקריפט זדוני בדפדפן של משתמש Guardium מחובר דרך תוצאות Quick Search, תוך סיכון לחשיפת מידע ולביצוע פעולות בהרשאות המשתמש. לא ידוע על ניצול בפועל; מומלץ לבדוק זמינות תיקון או הנחיות מיתון של IBM וליישמם בדחיפות, ובינתיים לצמצם שימוש ב-Quick Search ולהגביר ניטור אחר קלט חשוד בתעבורה המנוטרת.
חולשת CVE-2026-92414 ב-Apache Jackrabbit, בדירוג CVSS 9.3, מאפשרת לשרת WebDAV לשייך Session מאומת שנשמר במטמון על סמך התאמת Token ללא בדיקת פרטי הזדהות, ועלולה לאפשר התחזות למשתמשים וגישה בלתי מורשית למידע עסקי או שינויו; לא ידוע על ניצול בפועל. מומלץ למפות מופעים בגרסאות 2.23.0–2.23.5, 2.22.0–2.22.4 ו-2.20.0–2.20.17 ולשדרג בדחיפות לגרסאות המתוקנות 2.23.6, 2.22.5 או 2.20.18, בהתאמה.
CVE-2026-106237 היא חולשת דליפת מידע במנגנון Permissions ב-Google Chrome בגרסאות שקדמו ל-155.0.8059.39, המאפשרת לתוקף מרוחק לעקוף Site Isolation באמצעות דף HTML זדוני ולסכן מידע רגיש בדפדפן; לא ידוע על ניצול בפועל. מומלץ לעדכן לגרסה המתוקנת ומעלה ולאמת את נתוני הדירוג לצורך תעדוף, לנוכח הפער בין CVSS 9.6 שנמסר לבין סיווג Low של Chromium.
CVE-2026-106195 היא חולשת הרשאות ב-Chromoting ב-Google Chrome על Mac בגרסאות הקודמות ל-155.0.8059.39, המאפשרת לתוקף מרוחק לעקוף מגבלות גישה למערכת באמצעות תעבורת רשת ייעודית ולסכן משאבים ארגוניים. לא ידוע על ניצול בפועל; מומלץ לעדכן לגרסה המתוקנת ומעלה ולבחון את חשיפת Chromoting, תוך אימות הפער בין ציון CVSS 9.1 שסופק לבין דירוג החומרה Low של Chromium.
CVE-2026-21589 היא חולשת Arbitrary File Access במוצרי Atlassian, ובהם Bitbucket Data Center, בדירוג CVSS 9.3, המנוצלת בפועל ונכללת ב-CISA KEV; היא מאפשרת לתוקף מרוחק ללא הזדהות לקרוא קבצים תחת תיקיית השורש של יישום ה-Web, בכפוף לידיעת שמם ונתיבם המדויקים, ועלולה לחשוף מידע עסקי רגיש בהתאם לתצורה. מומלץ למפות מיידית את המערכות המושפעות, לשדרג בדחיפות לגרסאות המתוקנות בהתאם למוצר ולענף הגרסה, להגביל חשיפה חיצונית עד להשלמת העדכון ולבדוק לוגים לאיתור גישה חשודה לקבצים.
CVE-2026-88779 היא חולשה ב-NetScaler ADC וב-NetScaler Gateway בדירוג CVSS 8.7, שלפי המידע שנמסר מנוצלת בפועל ונכללת ב-CISA KEV, ולכן מחייבת טיפול דחוף בשל הסיכון לפגיעה בשירותים עסקיים ובגישה מרחוק; פרטי מנגנון החולשה והשפעתה הטכנית לא נמסרו. מומלץ למפות מיידית מערכות חשופות, לשדרג לגרסה מתוקנת בהתאם לענף ולמהדורה לפי הנחיות היצרן, ולבדוק סימני ניצול ופעילות חריגה.
חולשת HTTP Request/Response Smuggling קריטית ב-Citrix NetScaler ADC וב-NetScaler Gateway (CVE-2026-88773, CVSS 9.3) עלולה לאפשר עקיפת בקרות אבטחה ושיבוש תעבורת HTTP, עם סיכון לחשיפת מידע ולפגיעה בשירותים עסקיים; לא ידוע על ניצול בפועל. מומלץ למפות מערכות חשופות ולעדכן בדחיפות לגרסה מתוקנת בהתאם לענף ולמהדורה, לרבות FIPS ו-NDcPP, לפי הנחיות Citrix.
לפי המידע שנמסר, CVE-2026-88772 היא חולשה קריטית ב-Citrix NetScaler ADC וב-Citrix NetScaler Gateway בציון CVSS 9.5, המנוצלת בפועל ונכללת ב-CISA KEV, ומאפשרת Remote Code Execution או Denial of Service, עם סיכון להשתלטות על המערכות ולשיבוש גישה לשירותים עסקיים. מומלץ לאתר מיידית מערכות פגיעות, לתעדף מערכות חשופות לאינטרנט ולעדכן לגרסה המתוקנת המתאימה לענף ולמהדורה לפי הנחיות Citrix, ובמקביל לבדוק סימני ניצול ופשרה.
CVE-2026-88771 היא חולשת Improper Input Validation קריטית ב-Citrix NetScaler ADC וב-NetScaler Gateway, בדירוג CVSS 9.5, המאפשרת לתוקף ללא אימות להריץ פקודות שרירותיות; לפי המידע שנמסר, היא מנוצלת בפועל ונכללת ב-CISA KEV, ומעמידה את הארגון בסיכון להשתלטות על הרכיבים, חשיפת מידע והשבתת שירותים. מומלץ לתעדף טיפול מיידי, לעדכן לגרסה מתוקנת בהתאם לענף ולמהדורה לפי הנחיות Citrix, לצמצם חשיפה חיצונית ככל שניתן ולבדוק סימני פשרה, שכן עדכון לבדו אינו מסלק אחיזה קיימת של תוקף.
