Oracle SOA Suite: Unauthentifizierte Kompromittierung in Fabric Layer
Zusammenfassung
Oracle SOA Suite (Fabric Layer, Teil von Oracle Fusion Middleware) enthält eine Schwachstelle, die einem nicht authentifizierten Angreifer mit Netzwerkzugriff über HTTP erlaubt, das Produkt zu kompromittieren. Ein erfolgreicher Angriff kann Zugriff auf kritische Daten oder auf alle Daten gewähren, auf die SOA Suite zugreifen kann, und erlaubt einzelne unautorisierte Änderungen an diesen Daten. Da die Schwachstelle einen Scope Change aufweist, kann sich die Auswirkung auf weitere Produkte erstrecken; der CVSS-Basiswert beträgt 9.3 (Critical).
Betroffen
- Oracle SOA Suite 12.2.1.4.0
- Oracle SOA Suite 14.1.2.0.0
Behoben in
Unbekannt. Die Korrektur ist Teil des Critical Patch Update (CPU) von Oracle vom Oktober 2026; die konkreten Patch-Nummern für die betroffenen Versionen wurden in den verfügbaren Quellen nicht bestätigt.
Umgehung
- Der CVE-Eintrag nennt keine Workaround-Massnahme.
- Den Zugriff auf die HTTP-Endpunkte der SOA Suite so einschränken, dass sie nicht aus unvertrauenswürdigen Netzwerken erreichbar sind.
- Oracles Angaben zur verwandten CVE-2026-91217 empfehlen, die Fabric Layer durch Blockieren von HTTP aus unvertrauenswürdigen Netzwerken zu isolieren; dies ist für CVE-2026-91230 nicht bestätigt.
Ausnutzung
- Keine bestätigte Ausnutzung in freier Wildbahn.
- Nicht in der CISA-KEV-Liste aufgeführt.
- Kein öffentlicher Proof of Concept gefunden.
- EPSS unter 1 % (Momentaufnahme von OpenCVE).
- CISA SSVC: Ausnutzung keine, automatisierbar ja, technische Auswirkung teilweise.
Unsere Empfehlung
- Prüfen, ob SOA Suite 12.2.1.4.0 oder 14.1.2.0.0 installiert ist, auch in verwalteten WebLogic- oder Fusion-Middleware-Umgebungen.
- Den unautorisierten Zugriff auf die HTTP-Endpunkte der SOA Suite sofort blockieren und bestätigen, dass die Ports der Fabric Layer nicht aus dem Internet erreichbar sind.
- Den Patch der SOA Suite aus dem CPU vom Oktober 2026 einspielen und die Patch-Nummer aus der Oracle-Mitteilung festhalten.
- Protokolle auf unerwartete unauthentifizierte HTTP-Anfragen an die SOA Suite seit dem 20.10.2026 prüfen.
- Die CISA-KEV-Liste und Oracle-Updates beobachten, da die CVE neu ist.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Oracle Critical Patch Update Advisory October 2026 www.oracle.com
- OpenCVE: CVE-2026-91230 app.opencve.io
- VulnERS NVD: CVE-2026-91230 vulners.com
- Strix: CVE-2026-91230 www.strix.ai
- Fortra: October 2026 Oracle CPU analysis www.fortra.com
- Security Online: Oracle Fusion Middleware vulnerabilities October 2026 securityonline.info
- Threat Frontier: Oracle October 2026 CPU threatfrontier.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 01:04.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.