Oracle SOA Suite: Unauthentifizierte Fernübernahme über HTTP im Fabric Layer
Zusammenfassung
Oracle SOA Suite (Fusion Middleware, Komponente Fabric Layer) enthält eine kritische Schwachstelle, mit der ein nicht authentifizierter Angreifer mit Netzwerkzugriff über HTTP das Produkt vollständig kompromittieren kann. Der CVSS-3.1-Basiswert liegt bei 9.8, mit hohen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit. Es sind weder Benutzerinteraktion noch Berechtigungen erforderlich, weshalb exponierte Installationen einem hohen Risiko ausgesetzt sind, während rein intern erreichbare Installationen ein geringeres Risiko tragen. Zum Zeitpunkt der Erstellung wurde kein öffentlicher Proof of Concept und keine bekannte Ausnutzung gefunden.
Betroffen
- Oracle SOA Suite 12.2.1.4.0
- Oracle SOA Suite 14.1.2.0.0
- Komponente: Fabric Layer (Oracle Fusion Middleware)
Behoben in
- Behoben im Critical Patch Update von Oracle vom Oktober 2026 (veröffentlicht am 20. Oktober 2026).
- Genaue Patch-Kennung und behobene Build-Version je Release: Unbekannt. Diese dem Oracle-Advisory entnehmen.
Umgehung
- Der CVE-Eintrag enthält keine Workaround-Massnahme.
- Bis zum Patch: Netzwerkzugriff auf die HTTP-Endpunkte der SOA Suite einschränken und den Fabric Layer hinter ein VPN oder eine Firewall-Regel stellen (allgemeine Empfehlung, nicht aus einer Herstellerquelle).
Ausnutzung
- Zum Zeitpunkt der Recherche nicht im CISA-KEV-Katalog gelistet.
- CISA SSVC: Ausnutzung keine, automatisierbar ja, technische Auswirkung total.
- Bei der Recherche wurde kein öffentlicher Proof of Concept gefunden; dies schliesst dessen Existenz nicht aus.
- EPSS etwa 0.0045.
Unsere Empfehlung
- Alle Oracle-SOA-Suite-Installationen inventarisieren und prüfen, ob HTTP-Endpunkte aus dem Internet erreichbar sind.
- Das Critical Patch Update von Oracle vom Oktober 2026 auf alle SOA-Suite-Installationen anwenden, nicht nur für diese CVE, da das gleiche CPU weitere kritische SOA-Suite-Schwachstellen enthält.
- Zugriff auf die HTTP-Endpunkte der SOA Suite bis zum Abschluss des Patchens einschränken.
- Logs auf ungewöhnliche HTTP-Anfragen an die SOA Suite überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Oracle Security Alert: October 2026 Critical Patch Update www.oracle.com
- NVD record via Vulners vulners.com
- OpenCVE CVE-2026-91234 app.opencve.io
- Brandefense: Oracle October 2026 CPU brandefense.io
- Oracle Blog: October 2026 Critical Patch Update released blogs.oracle.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 17:13.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.