Oracle WebLogic Server: Fehlende Authentifizierung in der Core-Komponente
Zusammenfassung
Oracle WebLogic Server in der Core-Komponente, Teil von Oracle Fusion Middleware, kann ohne Anmeldung und ohne Benutzerinteraktion über HTTP angegriffen werden. Laut CVE-Eintrag können dabei Daten, auf die WebLogic zugreifen kann, unberechtigt erstellt, gelöscht oder verändert werden; der CVSS-Wert 9.1 stuft die Auswirkungen auf Vertraulichkeit und Integrität als hoch ein. Öffentliche Quellen beschreiben bisher keine bekannte Ausnutzung, doch Instanzen mit Internetzugang tragen das höchste Risiko.
Betroffen
- Oracle WebLogic Server 12.2.1.4.0
- Oracle WebLogic Server 14.1.1.0.0
- Oracle WebLogic Server 14.1.2.0.0
- Oracle WebLogic Server 15.1.1.0.0
Behoben in
- Behoben im Critical Patch Update von Oracle vom Oktober 2026 (veröffentlicht am 20. Oktober 2026).
- Genaue Patch-Stufe pro betroffenem Zweig: Unbekannt. Siehe das im Oracle-Advisory verlinkte Patch Availability Document.
Umgehung
- Vom Hersteller dokumentierter Workaround: Unbekannt.
- Bis zum Patch den Netzwerkzugriff auf WebLogic-Listener und Admin-Schnittstellen auf interne Netze oder VPN beschränken (Empfehlung von uns, nicht vom Hersteller).
Ausnutzung
- Keine Hinweise auf Ausnutzung gefunden.
- Nicht im Katalog der CISA KEV aufgeführt (laut Strix-Eintrag).
- CISA SSVC: Exploitation none, Automatable yes, Technical Impact total.
- In unseren Recherchen wurde kein öffentlicher Proof-of-Concept-Exploit gefunden.
Unsere Empfehlung
- Alle WebLogic-Instanzen mit Versionen und Internetexposition inventarisieren.
- Betroffene Zweige auf das Critical Patch Update vom Oktober 2026 patchen, wobei die Patch-Stufe aus dem Oracle-Advisory übernommen wird; Internet-exponierte Instanzen zuerst.
- Admin- und T3/IIOP-Zugriff auf interne Netze oder VPN beschränken.
- HTTP-Logs ab dem 20. Oktober 2026 auf unerwartete Anfragen an WebLogic prüfen.
- CISA KEV und NVD erneut prüfen, da die NVD-Analyse zum Recherchezeitpunkt noch ausstand.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Oracle Security Alert: October 2026 CPU www.oracle.com
- NVD/Vulners record CVE-2026-87302 vulners.com
- Strix CVE-2026-87302 www.strix.ai
- Brandefense: Oracle October 2026 CPU brandefense.io
- HivePro: Oracle October 2026 CPU www.hivepro.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 05:45.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.