Oracle HTTP Server / WebLogic Proxy Plug-in: Unzureichende Zugriffskontrolle

Zusammenfassung

Oracle HTTP Server und das Oracle WebLogic Server Proxy Plug-in (Varianten für Apache HTTP Server und IIS) prüfen beim Verarbeiten oder Weiterleiten von Anfragen die Identität und Berechtigungen der Besucher nicht ausreichend. Ein nicht authentifizierter Angreifer mit Netzwerkzugriff über HTTP kann laut Oracle Daten erstellen, ändern oder löschen sowie auf Daten zugreifen, die über die betroffenen Komponenten erreichbar sind, mit Auswirkungen auf weitere Produkte. Die CISA hat die Schwachstelle am 24. August 2026 aufgrund von Hinweisen auf aktive Ausnutzung in ihren Katalog bekannter ausgenutzter Schwachstellen (KEV) aufgenommen.

Betroffen

• Plug-in für Apache HTTP Server und Oracle HTTP Server: 12.2.1.4.0, 14.1.1.0.0, 14.1.2.0.0
• IIS-Plug-in: nur 12.2.1.4.0

Behoben in

• Behoben im Oracle Critical Patch Update vom 20. Januar 2026
• Genaue Patch-Kennungen und minimale gepatchte Builds: Unbekannt. Das Oracle-Advisory pro Komponente prüfen.

Umgehung

• Der Oracle-Patch ist die Massnahme; die folgenden Massnahmen reduzieren lediglich die Exposition
• Zugriff auf die WebLogic-Admin-Konsole und die Proxy-Endpunkte über VPN, Bastion-Host oder Firewall-Allowlists einschränken
• Das verwundbare Plug-in nach Möglichkeit vorübergehend deaktivieren
• Den Proxy durch Netzwerksegmentierung von unvertrauenswürdigen Netzen fernhalten

Ausnutzung

• Die CISA führt die Schwachstelle als aktiv ausgenutzt (KEV, aufgenommen am 24. August 2026)
• CloudSEK meldete im März 2026 Angriffe auf sein Honeypot-Netz, darunter Versuche gegen diese CVE
• Sekundärberichte bringen die Ausnutzung mit einem China-nahen Akteur in Verbindung; die CISA hat die Zuordnung nicht bestätigt
• Ein öffentlicher Proof of Concept wurde gemeldet; dessen Inhalt wurde nicht verifiziert
• Die Frist für Bundesbehörden ist in den Quellen unklar (genannt wird der 27. August 2026)

Unsere Empfehlung

• Prüfen, ob Oracle HTTP Server oder WebLogic-Proxy-Plug-ins installiert sind, auch in Produkten anderer Hersteller, und deren Versionen erfassen
• Das Oracle CPU vom Januar 2026 oder ein späteres kumulatives CPU einspielen und das Ergebnis verifizieren
• Falls das Patchen verzögert wird, betroffene Systeme umgehend vom Internet trennen
• Logs aus dem exponierten Zeitraum auf verdächtige Anfragen und unerwartete Child-Prozesse prüfen und nach Persistenz suchen
• Auf weitere Ausnutzung achten und verwandte WebLogic-CVEs prüfen (CVE-2020-14882, CVE-2020-14883, CVE-2020-2551, CVE-2017-10271)

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

Links zu fremden Seiten, von uns nicht geprüft – Exploit-Code kann Schadsoftware enthalten. Nur in isolierten Testumgebungen verwenden.

• Proof of Concept auf GitHub (10 Repositories) iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).
  samael0x4/CVE-2026-21962 · boroeurnprach/Ashwesker-CVE-2026-21962 · ThumpBo/CVE-2026-21962 · gregk4sec/CVE-2026-21962-o · George0Papasotiriou/CVE-2026-21962-Oracle-HTTP-Server-WebLogic-Proxy-Plug-in-Critical-

Quellen der Recherche

• Oracle Security Alert Advisory - January 2026 CPU www.oracle.com
• CISA adds one Known Exploited Vulnerability to catalog (24 August 2026) www.cisa.gov
• CISA KEV Catalog entry for CVE-2026-21962 www.cisa.gov
• SentinelOne vulnerability database: CVE-2026-21962 www.sentinelone.com
• NetSPI: Oracle WebLogic Server Proxy Plug-in CVE-2026-21962 overview www.netspi.com
• Sangfor FarSight Labs: CVE-2026-21962 analysis www.sangfor.com
• Security Affairs: CISA adds Oracle flaw to KEV catalog securityaffairs.com
• PT-2026-3709 (Positive Technologies database) dbugs.ptsecurity.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 19:53.