Oracle WebCenter Sites: Authentifizierungsumgehung ermöglicht Übernahme ohne Anmeldung
Zusammenfassung
Oracle WebCenter Sites, Bestandteil von Oracle Fusion Middleware, enthält eine Schwachstelle in der Authentifizierung (CWE-287, CWE-306), die über HTTP aus der Ferne ausgenutzt werden kann. Ein nicht authentifizierter Angreifer mit Netzwerkzugriff kann das Produkt kompromittieren, und erfolgreiche Angriffe können zur vollständigen Übernahme des Systems führen. Der CVSS-Wert beträgt 9.8 (Kritisch), und es ist keine Benutzerinteraktion erforderlich.
Betroffen
- Oracle WebCenter Sites 12.2.1.4.0
- Oracle WebCenter Sites 14.1.2.0.0
Behoben in
Unbekannt. Die Korrektur ist im Oracle Critical Patch Update vom Oktober 2026 enthalten; die Patch-Kennungen je Version müssen im Oracle-Advisory bestätigt werden.
Umgehung
Unbekannt. Es wurde kein Workaround des Herstellers bestätigt.
Ausnutzung
- Zum Zeitpunkt der Erstellung wurde keine Ausnutzung in freier Wildbahn festgestellt.
- EPSS 0.00538 (Modellschätzung, geringe vorhergesagte Wahrscheinlichkeit).
- CISA SSVC: Automatisierbar ja, technische Auswirkung total, Ausnutzung keine.
- Der NVD-Status war Awaiting Analysis.
Unsere Empfehlung
- Alle Installationen von WebCenter Sites 12.2.1.4.0 und 14.1.2.0.0 erfassen, einschliesslich Test- und Staging-Systemen.
- Prüfen, ob die Systeme aus dem Internet erreichbar sind, und den Zugriff aus nicht vertrauenswürdigen Netzwerken einschränken, wo nicht benötigt.
- Das Oracle Critical Patch Update vom Oktober 2026 einspielen, nachdem der Patch für die genaue Version bestätigt wurde.
- Web- und Anwendungslogs seit dem 20. Oktober 2026 auf ungewöhnliche nicht authentifizierte Anfragen prüfen.
- NVD, CISA KEV und das Oracle-Advisory auf Aktualisierungen prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Oracle Critical Patch Update Advisory October 2026 www.oracle.com
- Oracle CPU blog October 2026 blogs.oracle.com
- CVE record aggregator (CNA data, EPSS) vulners.com
- Affected versions and vector summary www.strix.ai
- Positive Technologies entry vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 17:21.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.