Oracle SOA Suite: Fehlende Authentifizierung in Fabric Layer erlaubt Übernahme

Zusammenfassung

Oracle SOA Suite (Fusion Middleware, Fabric Layer) in den Versionen 12.2.1.4.0 und 14.1.2.0.0 enthält eine Schwachstelle durch fehlende oder fehlerhafte Authentifizierung (CWE-287, CWE-306). Ein nicht authentifizierter Angreifer mit Netzwerkzugriff über HTTP kann das Produkt kompromittieren und übernehmen, wodurch Vertraulichkeit, Integrität und Verfügbarkeit betroffen sind. Der CVSS-3.1-Basiswert beträgt 9.8 (kritisch). Eine Ausnutzung in freier Wildbahn ist nicht bekannt, und CISA SSVC bewertet die Ausnutzbarkeit als automatisierbar.

Betroffen

• Oracle SOA Suite 12.2.1.4.0
• Oracle SOA Suite 14.1.2.0.0

Behoben in

Unbekannt. Die Patch der Critical Patch Update vom Oktober 2026 für die betroffenen Versionen einspielen, sobald der genaue Patch im Oracle-Advisory bestätigt ist.

Umgehung

• Keine herstellerspezifische Workaround bekannt.
• Bis zum Patch den HTTP-Zugriff auf SOA-Suite-Endpunkte auf vertrauenswürdige Netze beschränken (allgemeine Härtung, für diese CVE nicht bestätigt).

Ausnutzung

• Ausnutzung in freier Wildbahn: keine Hinweise gefunden (CISA SSVC: Ausnutzung keine).
• Zum Zeitpunkt der Recherche nicht in der CISA-KEV-Liste.
• Öffentlicher Proof of Concept: keiner gefunden.
• Oracle-Aussage zur Ausnutzung: unbekannt.

Unsere Empfehlung

• Alle SOA-Suite-Installationen inventarisieren und prüfen, ob sie aus dem Internet oder von Partnernetzen erreichbar sind.
• Exponierte Instanzen dringend behandeln und den CPU-Patch vom Oktober 2026 für die betroffenen Versionen einspielen, sobald der genaue Patch bestätigt ist.
• Bis zum Patch den HTTP-Zugriff auf vertrauenswürdige Netze beschränken und Logs auf ungewöhnliche Anfragen überwachen.
• Die gesamte SOA-Suite-Installation patchen, da andere Fabric-Layer-CVEs aus demselben CPU ebenfalls kritisch sind.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Oracle Security Alert: October 2026 CPU www.oracle.com
• Oracle Blog: October 2026 Critical Patch Update released blogs.oracle.com
• NVD mirror (Vulners): CVE-2026-91235 vulners.com
• OpenCVE: CVE-2026-91235 app.opencve.io
• Brandefense: Oracle October 2026 CPU brandefense.io

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 17:13.