Oracle HTTP Server: Unzureichende Verwaltung von Berechtigungen ermöglicht Übernahme

Zusammenfassung

CVE-2026-91473 betrifft Oracle HTTP Server 12.2.1.4.0 in der Komponente Web Listener. Ein Angreifer mit niedrigen Berechtigungen und Logon auf den Host, auf dem Oracle HTTP Server läuft, kann diesen kompromittieren; ein erfolgreicher Angriff führt zur Übernahme des Servers. Der Angriff ist lokal, hat eine niedrige Komplexität und benötigt keine Benutzerinteraktion, es handelt sich also nicht um eine aus dem Internet unauthentifizierte Schwachstelle.

Betroffen

• Oracle HTTP Server 12.2.1.4.0 (Komponente Web Listener)
• Andere Zweige: Unbekannt.

Behoben in

Unbekannt. Prüfen Sie das Oracle Critical Patch Update vom Oktober 2026 (Abschnitt OHS) und das Patch Availability Document von Oracle für 12.2.1.4.0.

Umgehung

Unbekannt. Es wurde keine vom Hersteller dokumentierte Massnahme gefunden.

• Schränken Sie bis zum Patch den lokalen Logon auf den Host ein und verschärfen Sie die Kontoverwaltung (allgemeine Massnahme, nicht vom Hersteller bestätigt).

Ausnutzung

• Nicht im CISA-KEV-Katalog aufgeführt.
• CISA SSVC: Exploitation none, automatable no, technical impact total.
• Kein öffentlicher Exploit gefunden; VulDB gibt an, dass kein Exploit verfügbar ist.
• Daten des Herstellers zur Ausnutzung: Unbekannt.

Unsere Empfehlung

• Prüfen Sie, ob Oracle HTTP Server 12.2.1.4.0 im Einsatz ist, zum Beispiel mit Oracle E-Business Suite, WebLogic oder Forms/Reports.
• Falls ja, installieren Sie den Oracle Critical Patch Update vom Oktober 2026 für 12.2.1.4.0.
• Schränken Sie bis zum Patch den lokalen Logon auf dem Host ein und überprüfen Sie Konten mit Shell- oder Logon-Rechten.
• Überwachen Sie die Logs von OHS und des Hosts auf ungewöhnliche Aktivitäten.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Oracle Security Alert: Critical Patch Update October 2026 www.oracle.com
• OpenCVE record CVE-2026-91473 app.opencve.io
• VulDB entry 424233 vuldb.com
• Vulners mirror of Oracle CPU October 2026 vulners.com
• Oracle HTTP Server 12.2.1.4 documentation docs.oracle.com
• AppSolve Group: October 2026 patch updates (third-party commentary) appsolvegroup.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 23:13.