Oracle SOA Suite: Kompromittierung über HTTP im Fabric Layer
Zusammenfassung
Die Oracle SOA Suite in den Versionen 12.2.1.4.0 und 14.1.2.0.0 enthält eine Schwachstelle in der Komponente Fabric Layer, die über das Netzwerk per HTTP erreichbar ist. Ein Angreifer mit einem Konto mit niedrigen Berechtigungen kann das Produkt übernehmen, und durch die Scope-Änderung können auch weitere Produkte betroffen sein. Oracle stuft die Lücke als kritisch ein (CVSS 3.1 9.9) und gibt an, dass sie im Critical Patch Update vom Oktober 2026 behoben ist.
Betroffen
- Oracle SOA Suite 12.2.1.4.0
- Oracle SOA Suite 14.1.2.0.0
Behoben in
- Behebung im Oracle Critical Patch Update vom Oktober 2026 enthalten. Genaue Patch-Nummer oder behobener Build: Unbekannt.
Umgehung
- Unbekannt. Der CVE-Eintrag nennt keine vom Hersteller bestätigte Umgehungsmassnahme.
- Allgemeine Massnahme (für diese CVE nicht vom Hersteller bestätigt): Externen HTTP-Zugriff auf das Frontend der SOA Suite mit Firewall-Regeln oder Netzwerkisolation einschränken.
Ausnutzung
- Ausnutzung in freier Wildbahn: keine bekannt.
- Im CISA-KEV-Katalog aufgeführt: nein.
- Öffentlicher Proof of Concept: keiner gefunden. Dies belegt nicht, dass keiner existiert.
- CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
Unsere Empfehlung
- Prüfen Sie, ob in Ihrer Umgebung eine Oracle SOA Suite betrieben wird, auch durch einen Dienstleister verwaltete Systeme.
- Prüfen Sie, ob die SOA Suite aus dem Internet erreichbar ist; falls ja, hat dies hohe Priorität.
- Spielen Sie das Oracle Critical Patch Update vom Oktober 2026 ein, sobald der genaue Patch für Ihre Version im Advisory von Oracle bestätigt ist.
- Schränken Sie bis zur Behebung den HTTP-Zugriff ein und prüfen Sie Konten mit niedrigen Berechtigungen, inklusive Selbstregistrierung und schwacher Passwörter.
- Überwachen Sie die Logs der SOA Suite auf ungewöhnliche HTTP-Anfragen und Kontoaktivitäten.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Oracle Security Alert: October 2026 CPU www.oracle.com
- NVD record via Vulners vulners.com
- OpenCVE CVE-2026-91224 app.opencve.io
- Brandefense: Oracle October 2026 CPU brandefense.io
- Waratek: Oracle October 2026 CPU waratek.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 15:07.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.