Oracle SOA Suite: Unauthentifizierter Zugriff auf Daten in der Fabric Layer
Zusammenfassung
CVE-2026-91219 betrifft die Komponente Fabric Layer von Oracle SOA Suite (Oracle Fusion Middleware) in den Versionen 12.2.1.4.0 und 14.1.2.0.0. Ein nicht authentifizierter Angreifer mit Netzwerkzugriff über HTTP kann die Schwachstelle ohne Benutzerinteraktion ausnutzen. Erfolgreiche Angriffe können zu unautorisiertem Zugriff auf kritische Daten führen und laut CVE-Eintrag auf alle Daten, die für SOA Suite zugänglich sind; wegen einer Scope-Änderung können auch andere Produkte betroffen sein.
Betroffen
- Oracle SOA Suite 12.2.1.4.0
- Oracle SOA Suite 14.1.2.0.0
- Ob ältere Versionen betroffen sind: Unbekannt.
Behoben in
- Behoben im Oracle Critical Patch Update Oktober 2026 (Rev 2, 26. Oktober 2026, laut Übersicht der Oracle Security Alerts).
- Patch-Kennung pro Version: Unbekannt; siehe Abschnitt SOA Suite im Advisory von Oracle.
Umgehung
- Kein Workaround des Herstellers bekannt.
- Übergangsmassnahme (eigene Einschätzung, nicht von Oracle): HTTP-Zugriff auf die Fabric-Layer-Endpunkte von SOA Suite auf vertrauenswürdige Netze oder ein VPN beschränken.
Ausnutzung
- CVSS 3.1 Basiswert 8.6, Vektor AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:N/A:N.
- CISA SSVC: Exploitation none, automatisierbar ja, technische Auswirkung partiell.
- Stand 21. Oktober 2026 nicht im KEV-Katalog der CISA.
- Kein öffentlicher Proof of Concept gefunden.
- Keine bestätigte Ausnutzung dieser CVE bekannt.
Unsere Empfehlung
- Prüfen, ob SOA Suite 12.2.1.4.0 oder 14.1.2.0.0 eingesetzt wird und ob Endpunkte der Fabric Layer aus dem Internet erreichbar sind.
- Oracle Critical Patch Update Oktober 2026 für SOA Suite zusammen mit den übrigen Oktober-2026-Fixes für SOA Suite einspielen, nachdem die Patch-Kennungen im Advisory von Oracle geprüft wurden.
- Bis zum Patch den HTTP-Zugriff auf vertrauenswürdige Netze beschränken und die SOA- und WebLogic-Logs auf ungewöhnliche Anfragen an diese Endpunkte prüfen.
- Bei Erreichbarkeit aus dem Internet hohe Priorität einstufen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Oracle Critical Patch Update October 2026 www.oracle.com
- Oracle Security Alerts www.oracle.com
- OpenCVE: CVE-2026-91219 app.opencve.io
- Vulners: NVD CVE-2026-91219 vulners.com
- Brandefense: Oracle October 2026 Critical Patch Update brandefense.io
- ThreatFrontier: Oracle October 2026 CPU SOA Suite threatfrontier.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 07:31.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.