Oracle HTTP Server / WebLogic Server Proxy Plug-in: Kompromittierung durch nicht authentifizierten Angreifer

Beschreibung

In Oracle Fusion Middleware (Komponente WebLogic Server Proxy Plug-in für Apache HTTP Server bzw. IIS) besteht eine leicht ausnutzbare Schwachstelle im Oracle HTTP Server und im WebLogic Server Proxy Plug-in. Ein nicht authentifizierter Angreifer mit Netzwerkzugriff über HTTP kann sie ausnutzen; durch einen Scope-Wechsel können auch weitere Produkte erheblich betroffen sein, mit unbefugtem Erstellen, Ändern oder Löschen kritischer Daten sowie vollem Lesezugriff. Betroffen sind die Versionen 12.2.1.4.0, 14.1.1.0.0 und 14.1.2.0.0 (für IIS nur 12.2.1.4.0). CVSS-Basiswert: 10.0 (Kritisch). Wird laut CISA KEV aktiv ausgenutzt; Aufnahme in den KEV-Katalog am 2026-08-24. Ausnutzungswahrscheinlichkeit (EPSS): 42.0 %. Empfohlene Massnahme: die Oracle-Sicherheitsupdates einspielen.

Changelog

1. 2026-08-25 · zuletzt

   • Neu im CISA-KEV-Katalog: wird aktiv ausgenutzt.

2. 2026-07-19

   • Report neu erstellt.

Automatisch aus dem Vergleich der Datenstände erzeugt (CVSS, Schweregrad, KEV-Status, Ransomware, betroffene Produkte, EPSS-Sprünge ab 5 Prozentpunkten). Nicht redaktionell verfasst.

Betroffene Produkte

Quellen und Referenzen

• NVD (NIST) Offizieller Eintrag mit CVSS-Vektor und Referenzen
• MITRE CVE CVE-Stammsatz der MITRE Corporation
• FIRST EPSS Ausnutzungswahrscheinlichkeit der naechsten 30 Tage
• CISA KEV-Katalog Nachweislich aktiv ausgenutzte Schwachstellen

Weitere Schwachstellen in Oracle (CPU/EBS/PeopleSoft/WebLogic)

• Apache Log4j2 Remote Code Execution Vulnerability KEV CVE-2021-44228
• Oracle WebLogic Server – Injection-Schwachstelle KEV CVE-2019-2725
• Oracle E-Business Suite Concurrent Processing – Schwachstelle in der BI-Publisher-Integration KEV CVE-2025-61882
• Apache Tomcat – Improper Privilege Management KEV CVE-2020-1938
• Oracle PeopleSoft Enterprise PeopleTools – Schwachstelle in der Komponente Updates Environment Management KEV CVE-2026-35273
• Apache Tomcat Remote Code Execution Vulnerability KEV CVE-2016-8735