CVE-2026-46773: Kritisk sårbarhed i Oracle Unified Directory
Kritisk sårbarhed i Oracle Unified Directory giver angribere fuld kontrol via netværket uden login.
Hvad er det?
Oracle Unified Directory (OUD) er en virksomhedsløsning til at styre brugere, adgangskoder og adgangskontrol i en organisation – en slags central telefonbog over, hvem der må hvad i jeres IT-systemer. Denne sårbarhed (CVE-2026-46773) findes i kernekomponenten af produktet og gør det muligt for en angriber at overtage hele katalogtjenesten uden at have et brugernavn eller adgangskode. Angrebet sker via LDAP (en netværksprotokol der bruges til at slå brugeroplysninger op), og kræver ingen hjælp fra medarbejdere. Berørte versioner er 12.2.1.4.0 og 14.1.2.1.0.
Hvem rammer det?
Sårbarheden rammer virksomheder og organisationer, der bruger Oracle Unified Directory version 12.2.1.4.0 eller 14.1.2.1.0 som en del af Oracle Fusion Middleware. Det er typisk mellemstore og større virksomheder, offentlige institutioner og organisationer, der bruger Oracles platform til at administrere medarbejderkonti, adgangskontrol og identitetsstyring. Hvis jeres OUD-server er tilgængelig fra internettet eller fra et netværkssegment (en del af netværket) som en angriber kan nå, er I i risikogruppen.
Hvad kan ske?
En angriber kan overtage hele Oracle Unified Directory-installationen fuldstændigt. Det betyder i praksis:
- Fortrolighed brudt: Angriberen kan læse alle brugerdata, adgangskoder og rettigheder gemt i kataloget.
- Integritet brudt: Angriberen kan ændre, tilføje eller slette brugere og rettigheder – og f.eks. give sig selv administratoradgang til andre systemer.
- Tilgængelighed brudt: Angriberen kan lukke katalogtjenesten ned, så medarbejdere ikke kan logge ind på virksomhedens systemer.
- Dominoeffekt: Fordi OUD typisk er koblet til mange andre systemer, kan et kompromitteret katalog give adgang til hele IT-infrastrukturen.
Hvor alvorligt er det?
Sårbarheden har fået den højest mulige CVSS-score på 9,8 ud af 10 (Kritisk). Det skyldes, at angrebet kan udføres over netværket uden nogen form for forhåndskendskab, login eller interaktion fra en medarbejder. Der kræves ingen særlige tekniske forudsætninger – angrebskompleksiteten er lav. Alle tre kerneaspekter af informationssikkerhed (fortrolighed, integritet og tilgængelighed) kompromitteres fuldt ud ved et vellykket angreb. Kort sagt: det er svært at forestille sig en mere alvorlig sårbarhed.
Hvad gør jeg nu?
Handles der hurtigt, reduceres risikoen markant. Gør følgende i prioriteret rækkefølge:
- Kortlæg eksponering nu: Find ud af om jeres Oracle Unified Directory-server er tilgængelig fra internettet eller fra netværkszoner (dele af netværket) som ikke er strengt kontrollerede. Spørg jeres IT-leverandør eller driftspartner.
- Begræns LDAP-adgang straks: Bloker adgang til LDAP-porten (standard port 389 og 636 for LDAPS) fra alle netværkszoner, der ikke har et strengt behov – særligt fra internettet. Det kan gøres i firewallen.
- Installer Oracles patch: Oracle frigiver sikkerhedsrettelser via deres Critical Patch Update (CPU). Installer den relevante patch til version 12.2.1.4.0 eller 14.1.2.1.0 så hurtigt som muligt.
- Gennemgå logfiler: Tjek OUD-serverens adgangslogfiler for mistænkelig aktivitet – især ukendte forbindelsesforsøg via LDAP – for at afklare om I allerede kan være blevet ramt.
- Kontakt jeres IT-partner: Hvis I ikke selv håndterer Oracle-infrastruktur, skal jeres driftspartner kontaktes øjeblikkeligt med besked om denne CVE.
Handl inden for 24-48 timer
Med en CVSS-score på 9,8 og et angreb der ikke kræver hverken login eller brugerinteraktion, skal denne sårbarhed behandles som en akut hændelse. Auroas anbefaling er, at I begrænser netværksadgangen til OUD-serveren øjeblikkeligt som en midlertidig foranstaltning, og derefter installerer Oracles patch hurtigst muligt – gerne inden for 24-48 timer. Har I ikke ressourcerne til at handle selv, bør I kontakte en IT-sikkerhedspartner i dag.
Tidslinje
Konkrete eksempler
Direkte overtagelse fra internettet
En angriber scanner internettet efter åbne LDAP-porte (port 389) og finder en virksomheds Oracle Unified Directory-server. Ved at sende en specially udformet LDAP-forespørgsel udnytter angriberen sårbarheden og opnår fuld administratoradgang til kataloget – alt sammen uden et eneste gyldigt brugernavn eller adgangskode. Angriberen kan nu oprette sin egen adminbruger og bevæge sig videre ind i virksomhedens øvrige systemer.
Internt angreb efter phishing
En medarbejder klikker på et phishing-link og installerer ubevidst malware på sin computer. Malwaren giver angriberen adgang til det interne netværk. Derfra scanner angriberen efter OUD-serveren og udnytter CVE-2026-46773 til at overtage katalogtjenesten. Med kontrol over brugerstyringen kan angriberen tildele sig selv adgang til alle virksomhedens forretningssystemer, herunder økonomi- og HR-systemer.
Sabotage og afpresning via ransomware
En angriber overtager Oracle Unified Directory og bruger adgangen til at deaktivere alle medarbejderkonti og ændre adgangskoder. Virksomheden mister øjeblikkeligt adgangen til alle systemer der er afhængige af OUD til autentificering (bekræftelse af identitet). Angriberen krypterer efterfølgende data og kræver løsesum for at gendanne adgangen – et klassisk ransomware-forløb med en katalogtjeneste som indgangspunkt.
Ofte stillede spørgsmål
Bruger vi overhovedet Oracle Unified Directory?
Oracle Unified Directory bruges primært i virksomheder med Oracle Fusion Middleware eller Oracles identitetsstyringsplatform. Spørg jeres IT-afdeling eller leverandør, om I har en OUD-installation. Det kan også fremgå af jeres software-licenser eller systemdokumentation.
Er vi kun i fare, hvis serveren er tilgængelig fra internettet?
Nej, ikke kun. Angrebet kræver blot netværksadgang via LDAP-protokollen. Hvis en angriber har fået fodfæste andetsteds i jeres netværk – f.eks. via phishing – kan de udnytte sårbarheden internt, selv hvis OUD-serveren ikke er direkte eksponeret mod internettet. Netværkssegmentering (opdeling af netværket i zoner) reducerer risikoen markant.
Hvad er LDAP, og hvorfor er det farligt her?
LDAP (Lightweight Directory Access Protocol) er en netværksprotokol, der bruges til at slå brugeroplysninger op – f.eks. når en medarbejder logger ind på et system. I denne sårbarhed kan en angriber sende specially udformede LDAP-forespørgsler til serveren og derigennem overtage den, uden at have et gyldigt login.
Hvad sker der, hvis vi ikke patcher med det samme?
Risikoen for et angreb stiger med tiden, efterhånden som sårbarheden bliver mere kendt i hackermiljøer. Et kompromitteret OUD kan give angribere nøglerne til hele jeres identitets- og adgangsstyring, hvilket i praksis kan betyde adgang til alle systemer, der er koblet til kataloget. Konsekvenserne kan inkludere datatab, driftsstop og brud på GDPR-forpligtelser.
Kan vi bruge en midlertidig løsning, mens vi venter på at patche?
Ja. Den vigtigste midlertidige foranstaltning er at begrænse adgangen til OUD-serveren via firewall-regler, så kun de systemer og brugere der har et legitimt behov, kan nå LDAP-portene (389/636). Det fjerner ikke sårbarheden, men reducerer angrebsfladen betydeligt, mens I forbereder patchingen.
Skal vi anmelde det til Datatilsynet, hvis vi opdager et angreb?
Hvis et angreb har ført til uautoriseret adgang til personoplysninger, ja. GDPR kræver, at I anmelder et databrud til Datatilsynet inden for 72 timer efter, I er blevet opmærksomme på det. Kontakt jeres databeskyttelsesrådgiver (DPO) eller juridiske rådgiver straks, hvis I mistænker et kompromis.
Ramte produkter
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
Vulnerability in the Oracle Unified Directory product of Oracle Fusion Middleware (component: OUD Core). Supported versions that are affected are 12.2.1.4.0 and 14.1.2.1.0. Easily exploitable vulnerability allows unauthenticated attacker with network access via LDAP to compromise Oracle Unified Directory. Successful attacks of this vulnerability can result in takeover of Oracle Unified Directory. CVSS 3.1 Base Score 9.8 (Confidentiality, Integrity and Availability impacts). CVSS Vector: (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H).
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.