Oracle SOA Suite: Unzureichende Zugriffskontrolle in Fabric Layer erlaubt Übernahme
Zusammenfassung
Oracle SOA Suite in den Versionen 12.2.1.4.0 und 14.1.2.0.0 enthält eine kritische Schwachstelle in der Komponente Fabric Layer. Ein nicht authentifizierter Angreifer mit Netzwerkzugriff auf die Protokolle T3 oder IIOP kann das Produkt vollständig kompromittieren, mit CVSS-3.1-Basiswert 10.0. Aufgrund einer Scope-Änderung können Angriffe zusätzlich andere verbundene Produkte erheblich beeinträchtigen.
Betroffen
- Oracle SOA Suite 12.2.1.4.0
- Oracle SOA Suite 14.1.2.0.0
Behoben in
- Behebung enthalten im Oracle Critical Patch Update Oktober 2026 (veröffentlicht am 20. Oktober 2026)
- Patch-Kennungen und Build-Nummern der Korrektur: Unbekannt. Siehe Oracle-Advisory.
Umgehung
- Unbekannt. Es war kein offizieller Workaround von Oracle abrufbar.
- T3- und IIOP-Zugriffe aus unvertrauenswürdigen Netzwerken bis zur Behebung einschränken.
- Nicht benötigte Komponenten oder Ports der SOA Suite nach Möglichkeit deaktivieren.
Ausnutzung
- Zum Zeitpunkt der Erstellung wurde keine aktive Ausnutzung nachgewiesen.
- Die CVE ist nicht im CISA-KEV-Katalog aufgeführt.
- Öffentlicher Proof of Concept: Unbekannt.
- EPSS in einer Auflistung unter 1 Prozent.
- CISA SSVC: Ausnutzung keine, automatisierbar ja, technische Auswirkung total.
Unsere Empfehlung
- Alle Instanzen der SOA Suite 12.2.1.4.0 und 14.1.2.0.0 inventarisieren, auch solche, die in andere Produkte eingebunden sind.
- T3 und IIOP aus unvertrauenswürdigen Netzwerken sofort blockieren.
- Das Oracle CPU vom Oktober 2026 einspielen und den Build nach der Aktualisierung prüfen; Systeme mit Internetzugang priorisieren.
- Logs auf unerwartete T3- oder IIOP-Verbindungen prüfen.
- NVD, CISA KEV und das Oracle-Advisory auf Änderungen des Status prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Oracle Security Alert: October 2026 CPU www.oracle.com
- OpenCVE: CVE-2026-91216 app.opencve.io
- Vulners: CVE-2026-91216 vulners.com
- Fortra: October 2026 Oracle CPU analysis www.fortra.com
- eSecurityPlanet: Oracle October 2026 CPU www.esecurityplanet.com
- CSO Online: Oracle patches 1295 security vulnerabilities www.csoonline.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 14:07.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.