Oracle SOA Suite: Authentifizierungsumgehung in Fabric Layer ermöglicht Übernahme
Zusammenfassung
Oracle SOA Suite (Fusion Middleware, Komponente Fabric Layer) enthält eine Schwachstelle, mit der ein nicht authentifizierter Angreifer mit Netzwerkzugriff das Produkt über die Protokolle T3 oder IIOP kompromittieren kann. Da sich der Scope ändert, können Angriffe auch andere Produkte erheblich beeinträchtigen. Eine erfolgreiche Ausnutzung kann zur vollständigen Übernahme von Oracle SOA Suite führen; CVSS 3.1 bewertet die Schwachstelle mit 10.0 (Kritisch).
Betroffen
- Oracle SOA Suite 12.2.1.4.0
- Oracle SOA Suite 14.1.2.0.0
- Hinweis: Eine Sekundärquelle nennt 14.1.2.1.0; dies ist im Advisory von Oracle zu verifizieren.
Behoben in
Unbekannt. Behoben im Critical Patch Update vom Oktober 2026; die fixen Build-Nummern sind im Advisory von Oracle zu prüfen.
Umgehung
- Im CVE-Eintrag und von Oracle wird kein Workaround angegeben.
- Drittanbieter-Hinweise empfehlen, den Netzwerkzugriff auf Verwaltungsschnittstellen der Oracle-Middleware einzuschränken.
Ausnutzung
- Laut Stand 21. Oktober 2026 nicht im CISA KEV gelistet.
- Oracle meldet keine Ausnutzung.
- EPSS: 0.00522 (Vulners).
- Öffentlicher Proof-of-Concept-Exploit: Unbekannt.
Unsere Empfehlung
- Alle SOA-Suite-Instanzen mit 12.2.1.4.0 oder 14.1.2.0.0 inventarisieren.
- T3 und IIOP aus unsicheren Netzwerken blockieren und auf interne Administrationshosts beschränken.
- SOA-/WebLogic-Logs auf unerwartete T3- oder IIOP-Verbindungen prüfen.
- Das Critical Patch Update vom Oktober 2026 einspielen, nachdem die fixe Version im Advisory von Oracle bestätigt wurde.
- Zusätzlich CVE-2026-91216 und CVE-2026-91231 im selben Advisory prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Oracle Critical Patch Update Advisory - October 2026 www.oracle.com
- NVD record via Vulners vulners.com
- OpenCVE CVE-2026-91221 app.opencve.io
- Cyberpress: Oracle releases massive security update cyberpress.org
- CSO Online: Oracle patches 1,295 vulnerabilities in October www.csoonline.com
- Brandefense: Oracle October 2026 CPU brandefense.io
- SecurityOnline: Oracle Critical Patch Update October 2026 securityonline.info
- Fortra: October 2026 Oracle CPU analysis www.fortra.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 14:07.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.