Oracle WebLogic Server: Nicht authentifizierte Kompromittierung über HTTP in der Core-Komponente
Zusammenfassung
Oracle WebLogic Server in der Core-Komponente von Oracle Fusion Middleware enthält eine kritische Schwachstelle (CVSS 9.8) in vier unterstützten Versionszweigen. Ein nicht authentifizierter Angreifer mit Netzwerkzugriff über HTTP kann den Server ohne Benutzerinteraktion übernehmen. Der CVE-Eintrag beschreibt einen vollständigen Verlust von Vertraulichkeit, Integrität und Verfügbarkeit, daher sind auch die auf dem Server gehosteten Anwendungen und Daten gefährdet.
Betroffen
- Oracle WebLogic Server 12.2.1.4.0
- Oracle WebLogic Server 14.1.1.0.0
- Oracle WebLogic Server 14.1.2.0.0
- Oracle WebLogic Server 15.1.1.0.0
Behoben in
Unbekannt. Prüfen Sie die Tabelle zur Patch-Verfügbarkeit im Oracle Critical Patch Update Oktober 2026 auf den korrigierten Patch für jeden Versionszweig.
Umgehung
Herstellerseitige Massnahme: Unbekannt. In den geprüften Quellen wurde keine herstellerseitige Massnahme gefunden.
- Übergangsmassnahme (nicht von einer Herstellerquelle): Beschränken Sie, welche Netzwerke den HTTP-Listener von WebLogic sowie dessen Admin- und Konsolenpfade erreichen können, und entfernen Sie den Server nach Möglichkeit aus dem Internet. Das Schliessen von Ports verringert die Exposition, ist aber keine Behebung.
Ausnutzung
- Keine Hinweise auf eine Ausnutzung in freier Wildbahn bis 30. Okt. 2026 gefunden.
- Nicht im Katalog CISA KEV aufgeführt.
- CISA SSVC: Exploitation none, automatable yes, technical impact total.
- Kein öffentlicher Proof of Concept gefunden.
Unsere Empfehlung
- Erfassen Sie alle WebLogic-Instanzen und deren Versionen, einschliesslich jener, die in Produkten von Drittanbietern enthalten sind.
- Spielen Sie den Patch für jeden betroffenen Versionszweig aus dem Oracle CPU-Advisory Oktober 2026 ein.
- Prüfen Sie CVE-2026-83399 (T3/IIOP, CVSS 9.8, gleiches CPU) separat und patchen Sie es gleichzeitig.
- Beschränken Sie bis zur Behebung den HTTP-Zugriff aus nicht vertrauenswürdigen Netzwerken und prüfen Sie Logs auf ungewöhnliche Anfragen an die HTTP-Endpunkte von WebLogic.
- Behandeln Sie aus dem Internet oder von Partnern erreichbare Server als dringend und interne Server als hohe Priorität.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Oracle Critical Patch Update October 2026 www.oracle.com
- CVE record mirror (Vulners) vulners.com
- OpenCVE record app.opencve.io
- Strix CVE record www.strix.ai
- Brandefense: Oracle October 2026 CPU brandefense.io
- Waratek: Oracle October 2026 CPU waratek.com
- VulDB entry (conflicting CVSS and CWE data) vuldb.com
- Dev.to: Oracle October CPU and T3 exposure dev.to
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 17:12.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.