Oracle SOA Suite: Unauthentifizierte Übernahme über HTTP in Adapters
Zusammenfassung
Eine Schwachstelle in der Komponente Adapters von Oracle SOA Suite (Oracle Fusion Middleware) erlaubt einem nicht authentifizierten Angreifer mit Netzwerkzugriff per HTTP, das Produkt zu übernehmen. Da der Scope verändert wird, kann sich die Auswirkung auf weitere Produkte und Ressourcen erstrecken, die von der SOA Suite aus erreichbar sind, einschliesslich Datenbanken hinter ihren Adaptern. Der CVSS-Basiswert beträgt 10.0 (kritisch); zum Zeitpunkt der Erfassung ist keine Ausnutzung bekannt.
Betroffen
- Oracle SOA Suite 12.2.1.4.0
- Oracle SOA Suite 14.1.2.0.0
- Hinweis: Eine Drittquelle nennt weitere SOA-Suite-Versionen; mit der Matrix von Oracle abgleichen.
Behoben in
Unbekannt. Oracle hat die Schwachstelle im Critical Patch Update vom Oktober 2026 behoben. Die genaue Patch- oder Fixversion für Ihre Version ist dem Advisory von Oracle zu entnehmen.
Umgehung
- Im CVE-Eintrag und in den geprüften Quellen von Oracle wird kein Workaround genannt.
- Interime Option (keine Herstellerempfehlung): Externen HTTP-Zugriff auf SOA-Suite-Endpunkte blockieren oder einschränken, bis ein Patch installiert ist.
Ausnutzung
- CISA KEV: nicht gelistet.
- Oracle nennt keine Ausnutzung dieser CVEs.
- Im Rahmen der Recherche wurde kein öffentlicher Proof-of-Concept gefunden.
- EPSS: unter 1 Prozent (sehr tief).
Unsere Empfehlung
- Alle SOA-Suite-Instanzen inventarisieren, einschliesslich der Versionen 12.2.1.4.0 und 14.1.2.0.0, und prüfen, ob sie aus dem Internet erreichbar sind.
- Nach Prüfung des genauen Patches für Ihre Version das Oracle Critical Patch Update vom Oktober 2026 einspielen.
- Falls das Patchen verzögert werden muss, den externen HTTP-Zugriff auf betroffene Endpunkte einschränken und die Logs auf ungewöhnliche Anfragen überwachen.
- Den gesamten SOA-Suite-Stack patchen, da im selben Update weitere SOA-Suite-CVEs behoben wurden.
- NVD und CISA KEV regelmässig prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Oracle Critical Patch Update Advisory, October 2026 www.oracle.com
- Oracle Security Blog: October 2026 Critical Patch Update released blogs.oracle.com
- Brandefense: Oracle October 2026 CPU brandefense.io
- OpenCVE: CVE-2026-91231 app.opencve.io
- Vulners: NVD:CVE-2026-91231 vulners.com
- Threat Frontier: Oracle October 2026 CPU, SOA Suite threatfrontier.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 14:06.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.