Oracle SOA Suite: Privilegienverwaltung in der Adapters-Komponente fehlerhaft
Zusammenfassung
Oracle SOA Suite (Fusion Middleware, Adapters-Komponente) in den Versionen 12.2.1.4.0 und 14.1.2.0.0 ist von CVE-2026-91250 betroffen, klassifiziert als CWE-269 (Improper Privilege Management) in den Eingabedaten, während OpenCVE CWE-284 angibt. Ein Angreifer mit niedrigen Privilegien und Netzwerkzugriff über mehrere Protokolle kann Oracle SOA Suite übernehmen, und da sich der Scope ändert, kann sich die Auswirkung auf andere Produkte erstrecken. Der Angriff erfordert ein gültiges Konto, aber keine Benutzerinteraktion, und der CVSS-Basiswert beträgt 9.9 (Critical).
Betroffen
- Oracle SOA Suite 12.2.1.4.0
- Oracle SOA Suite 14.1.2.0.0
Behoben in
Unbekannt. Die Behebung ist im Critical Patch Update von Oracle vom Oktober 2026 (veröffentlicht am 20. Oktober 2026) enthalten. Prüfen Sie das Oracle-Advisory und My Oracle Support auf den genauen Patch für Ihre Version.
Umgehung
- Von Oracle nicht bekannt. Die Beschränkung des Netzwerkzugriffs auf SOA-Suite-Endpunkte auf vertrauenswürdige Hosts ist nur eine Übergangsmassnahme und muss anhand der Oracle-Vorgaben geprüft werden.
Ausnutzung
- Nicht im CISA-KEV-Katalog aufgeführt.
- EPSS etwa 0.45%.
- Keine öffentlichen Proof-of-Concept-Exploits oder Ausnutzung in freier Wildbahn gefunden; dies schliesst beides nicht aus.
- CISA SSVC: Ausnutzung keine, nicht automatisierbar, totale technische Auswirkung.
Unsere Empfehlung
- Erfassen Sie alle Instanzen von SOA Suite 12.2.1.4.0 und 14.1.2.0.0, einschliesslich der Integrationen, die von ihnen abhängen.
- Spielen Sie den Patch aus dem Critical Patch Update vom Oktober 2026 für Ihre Version ein, nachdem Sie ihn im Oracle-Advisory bestätigt haben.
- Beschränken Sie bis zur Behebung den Netzwerkzugriff auf SOA Suite auf vertrauenswürdige Hosts und prüfen Sie Dienstkonten auf schwache oder gemeinsam genutzte Zugangsdaten.
- Prüfen Sie die Protokolle auf ungewöhnliche Authentifizierungs- und Administrationsaktivitäten in SOA Suite.
- Prüfen Sie, ob ein SOA-Suite-Listener aus dem Internet erreichbar ist.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Oracle Critical Patch Update Advisory October 2026 www.oracle.com
- OpenCVE CVE-2026-91250 app.opencve.io
- Vulners CVE-2026-91250 vulners.com
- Strix CVE-2026-91250 www.strix.ai
- CSO Online: Oracle patches 1,295 security vulnerabilities in October www.csoonline.com
- Fortra: October 2026 Oracle Critical Patch Update analysis www.fortra.com
- Oracle SOA Suite 14.1.2 upgrade introduction docs.oracle.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 15:05.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.