Oracle SOA Suite: Unautorisierter Zugriff und Datenmanipulation in Fabric Layer
Zusammenfassung
Eine Schwachstelle in der Komponente Fabric Layer der Oracle SOA Suite (Teil von Oracle Fusion Middleware) betrifft die Versionen 12.2.1.4.0 und 14.1.2.0.0. Ein Angreifer mit niedrigen Berechtigungen und Netzwerkzugriff per HTTP kann kritische Daten erstellen, ändern oder löschen sowie auf Daten zugreifen, die über die SOA Suite verfügbar sind. Der Scope wird verändert, sodass sich die Auswirkungen über die SOA Suite hinaus erstrecken können; der CVSS-Basiswert beträgt 9.6 (kritisch). Der Angriff ist von niedriger Komplexität und erfordert keine Benutzerinteraktion.
Betroffen
- Oracle SOA Suite 12.2.1.4.0
- Oracle SOA Suite 14.1.2.0.0
Behoben in
- Das Critical Patch Update vom Oktober 2026 (Oracle Critical Patch Update Advisory, October 2026) für die betroffene Version einspielen.
- Genaue Patch-Identifikatoren: Unbekannt. Diese sind dem Oracle-Advisory zu entnehmen.
Umgehung
- Keine von Oracle bestätigt.
- Allgemeine Risikoreduktion (keine Behebung): Der HTTP-Zugriff auf administrative Endpunkte und Fabric-Layer-Endpunkte wird mittels Netzwerksegmentierung oder Firewall-Regeln auf vertrauenswürdige Hosts beschränkt.
Ausnutzung
- Gemäss den neuesten gefundenen Daten (etwa 21. bis 27. Oktober 2026) nicht im Katalog CISA Known Exploited Vulnerabilities gelistet.
- Bis zu den neuesten Quellen ist kein öffentlicher Proof-of-Concept bestätigt.
- Oracle hat nicht angegeben, dass die Schwachstelle ausgenutzt wird.
- Eine frühere Oracle-Middleware-Schwachstelle (CVE-2026-21962) wurde kurz nach ihrem Patch als Proof-of-Concept veröffentlicht, daher ist ähnliche Gefährdung möglich.
Unsere Empfehlung
- Alle SOA-Suite-Instanzen und deren Versionen (12.2.1.4.0 und 14.1.2.0.0) erfassen und prüfen, ob sie aus dem Internet oder aus nicht vertrauenswürdigen Netzwerken erreichbar sind.
- Das Critical Patch Update vom Oktober 2026 für die betroffene Version mit den genauen Patch-IDs aus dem Oracle-Advisory einspielen, mit Priorität für Systeme im Internet.
- Bis zur Behebung den HTTP-Zugriff auf die Fabric Layer auf vertrauenswürdige Hosts beschränken und Konten mit niedrigen Berechtigungen prüfen, einschliesslich schwacher oder ungenutzter Zugangsdaten.
- CISA-KEV-Status und öffentliche Proof-of-Concept-Lage in den nächsten Wochen wöchentlich prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Oracle Critical Patch Update Advisory, October 2026 www.oracle.com
- OpenCVE: CVE-2026-91218 app.opencve.io
- Vulners NVD: CVE-2026-91218 vulners.com
- Strix: CVE-2026-91218 www.strix.ai
- Brandefense: Oracle October 2026 CPU brandefense.io
- Breach-Signal: Oracle October 2026 CPU breach-signal.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 22:21.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.