Oracle heeft buiten de vaste patchcyclus om een noodpatch uitgebracht voor een kritieke kwetsbaarheid in Oracle Identity Manager en Oracle Web Services Manager. Het beveiligingslek (CVE-2026-21992) maakt remote code execution door een ongeauthenticeerde aanvaller mogelijk. De impact is op een schaal van 1 tot en met 10 beoordeeld met een 9.8.

Web Services Manager biedt een policy framework voor het beheren en beveiligen van webservices. Oracle Identity Manager is een oplossing voor identiteitsbeheer en automatiseert zaken als user provisioning en wachtwoordbeheer. In het beveiligingsbulletin geeft Oracle geen details over de kwetsbaarheid, behalve dat een ongeauthenticeerde aanvaller er misbruik van kan maken om code op kwetsbare systemen uit te voeren. Misbruik van het lek is volgens Oracle eenvoudig.

Oracle heeft een vaste patchcyclus waarbij het eens per kwartaal beveiligingsupdates uitbrengt. Alleen voor ernstige problemen wijkt het van dit schema af. Organisaties die van de genoemde producten gebruikmaken worden door Oracle opgeroepen om de beschikbaar gestelde update meteen te installeren. De volgende patchronde van Oracle staat gepland voor 21 april.