CVE-2026-21962
Oracle HTTP Server and Oracle Weblogic Server Proxy Plug-in Improper Access Control Vulnerability
Beschreibung
CVE-2026-21962 ist eine Schwachstelle mit maximalem Schweregrad durch unsachgemäße Zugriffskontrolle in Oracle HTTP Server und dem Oracle WebLogic Server Proxy Plug-in, Teil von Oracle Fusion Middleware. Oracle beschreibt sie als leicht ausnutzbaren Fehler, über den ein unauthentifizierter Angreifer mit Netzwerkzugriff per HTTP die betroffene Komponente kompromittieren kann, und hält ausdrücklich fest, dass Angriffe zusätzliche Produkte erheblich beeinträchtigen können — der Scope-Wechsel, der den CVSS-3.1-Basiswert auf das Maximum von 10.0 hebt. Eine erfolgreiche Ausnutzung gewährt unbefugtes Anlegen, Löschen oder Verändern kritischer Daten sowie vollständigen Lesezugriff auf alle von der Komponente erreichbaren Daten. Betroffen sind die unterstützten Versionen 12.2.1.4.0, 14.1.1.0.0 und 14.1.2.0.0, das IIS-Plug-in nur in 12.2.1.4.0. CVE-2026-21962 hat einen EPSS-Wert von rund 42 % im 98. Perzentil und steht im CISA-Katalog bekannter ausgenutzter Schwachstellen (KEV).
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:NIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| oracle | http server | 12.2.1.4.0; 14.1.1.0.0; 14.1.2.0.0 |
| oracle | weblogic server proxy plug-in | 12.2.1.4.0; 14.1.1.0.0; 14.1.2.0.0 |
Referenzen
- https://www.oracle.com/security-alerts/cpujan2026.html(Patch, Vendor Advisory)
- https://github.com/Ashwesker/Ashwesker-CVE-2026-21962/issues/1(Broken Link, Not Applicable)
- https://web.archive.org/web/20260129165916/https://github.com/Ashwesker/Ashwesker-CVE-2026-21962/issues/1(Issue Tracking)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-21962(US Government Resource)
- https://x.com/0xacb/status/2015473216844620280(Not Applicable)
Schwachstellentyp
CWE-284: Unsachgemäße Zugriffskontrolle
Unsachgemäße Zugriffskontrolle liegt vor, wenn Software den Zugriff auf eine Ressource für unbefugte Akteure nicht angemessen beschränkt — eine breite Kategorie, die Authentifizierungs- und Autorisierungsumgehungen sowie die mangelnde Durchsetzung von Zugriffsrichtlinien umfasst. Bei CVE-2026-21962 begrenzen Oracle HTTP Server und das WebLogic Server Proxy Plug-in nicht ausreichend, was ein unauthentifizierter HTTP-Client erreichen darf, sodass ein entfernter Angreifer ohne Zugangsdaten Lese- und Schreibzugriff auf Daten erlangt, die die Komponente schützen soll.
Mehr erfahren: CWE-284 — Unsachgemäße Zugriffskontrolle
Auswirkungsanalyse
CVE-2026-21962 erreicht den maximalen CVSS-3.1-Basiswert von 10.0, weil die Schwachstelle aus der Ferne über HTTP ausnutzbar ist, mit geringer Angriffskomplexität, ohne Authentifizierung, ohne Benutzerinteraktion und mit geändertem Scope — Oracle hält unmittelbar fest, dass Angriffe zusätzliche Produkte über die verwundbare Komponente hinaus erheblich beeinträchtigen können. Vertraulichkeit und Integrität sind jeweils hoch betroffen, die Verfügbarkeit gar nicht: Ein Angreifer erlangt vollständigen Zugriff auf alle über die Komponente erreichbaren Daten und kann kritische Daten anlegen, löschen oder verändern, gewinnt aber keine unmittelbare Denial-of-Service-Fähigkeit. Der Scope-Wechsel ist der entscheidende Faktor und folgt aus der Natur der Komponente: Ein Proxy-Plug-in steht vor WebLogic-Anwendungsservern und hält die Vertrauensbeziehung, über die Anfragen sie erreichen — wer das Plug-in kompromittiert, erreicht die dahinterliegenden Anwendungen und Daten. Der EPSS-Wert von rund 42 % im 98. Perzentil ist außergewöhnlich hoch und deutet auf anhaltende Massenausnutzung hin; die KEV-Listung der CISA setzte eine bereits verstrichene Behebungsfrist zum 27. August 2026.
Exploit-Reifegrad
CVE-2026-21962 zeigt sehr starke Ausnutzungssignale. Die CISA hat die aktive Ausnutzung über die KEV-Listung bestätigt, mit bereits verstrichener Behebungsfrist zum 27. August 2026. Der EPSS-Wert von rund 42 % im 98. Perzentil gehört zu den höchsten derzeit vergebenen und deutet darauf hin, dass Ausnutzungsversuche gegen exponierte Oracle-HTTP-Server-Instanzen faktisch kontinuierlich und nicht sporadisch erfolgen. Öffentliche Diskussion zur Schwachstelle findet sich in den Referenzen, darunter ein über die Wayback Machine erfasstes archiviertes GitHub-Issue — die archivierte Fassung ist der passende Link, da das Original möglicherweise nicht mehr erreichbar ist. Oracles Critical Patch Update ist die einzige Herstellerquelle und enthält wie üblich keine technischen Details. Angesichts eines unauthentifizierten Fehlers in einer Web-Ebenen-Komponente vor Unternehmens-Anwendungsservern sollte jede aus dem Internet erreichbare ungepatchte Instanz als kompromittiert angenommen und triagiert und nicht bloß gepatcht werden.
Behebung
- Die von der CISA geforderte Maßnahme sofort umsetzen. Mitigationen gemäß den Anweisungen von Oracle anwenden, die BOD-26-04-Vorgaben der CISA („Prioritizing Security Updates Based on Risk") sowie die „Forensics Triage Requirements" einhalten und das Produkt außer Betrieb nehmen, falls keine Mitigationen verfügbar sind. Die KEV-Frist zum 27. August 2026 ist verstrichen — ungepatchte Systeme sind deutlich überfällig.
- Den Fix aus Oracles Critical Patch Update vom Januar 2026 einspielen. Betroffene unterstützte Versionen sind 12.2.1.4.0, 14.1.1.0.0 und 14.1.2.0.0 für Oracle HTTP Server und das WebLogic Server Proxy Plug-in für Apache HTTP Server; das Plug-in für IIS ist nur in 12.2.1.4.0 betroffen. Oracle-CPU-Patches sind kumulativ — das Einspielen des Januar-2026-CPU oder eines späteren ist die richtige Maßnahme.
- HTTP-Zugriff auf die Proxy-Ebene umgehend einschränken. Da der Angriff ohne Zugangsdaten über HTTP erfolgt, begrenzt das Vorschalten eines authentifizierenden Reverse Proxy, einer WAF oder einer Netzwerk-Allowlist den Kreis derer, die den verwundbaren Pfad erreichen, solange das Patchen läuft — angesichts der bereits abgelaufenen Frist notwendig.
- Von Kompromittierung ausgehen und auch die WebLogic-Ebene untersuchen. Der Scope-Wechsel bedeutet, dass die Schadensausbreitung über das Plug-in hinausgeht: HTTP-Server-Zugriffslogs auf auffällige Anfragen vor dem Patch prüfen, WebLogic-Domains auf unerwartete Deployments, Datenquellenänderungen und neue Administrationsbenutzer untersuchen, die Integrität der Anwendungsdaten gegen Backups verifizieren und die Hosts auf Webshells, unbekannte Prozesse und ausgehende Verbindungen kontrollieren.
- Zugangsdaten rotieren und die Zugriffskontrolle langfristig härten. WebLogic-Administrationszugangsdaten ändern, von den betroffenen Servern erreichbare Datenquellen- und Integrationszugangsdaten rotieren und TLS-Schlüssel ersetzen, falls eine Kompromittierung nicht ausgeschlossen werden kann; anschließend die generellen Abwehrmaßnahmen dieser Klasse anwenden — standardmäßig verweigern und explizite Freigaben verlangen, Zugriffskontrollentscheidungen zentralisieren statt Prüfungen über Komponenten zu duplizieren und Fusion Middleware im Quartalsrhythmus der Oracle-CPUs halten, da diese Produkte nur über diesen Kanal gepatcht werden.
Technische Details
CVE-2026-21962 ist eine unsachgemäße Zugriffskontrolle (CWE-284) im WebLogic Server Proxy Plug-in für Apache HTTP Server und für IIS, ausgeliefert als Teil von Oracle HTTP Server und Oracle Fusion Middleware. Aufgabe des Plug-ins ist es, HTTP-Anfragen auf der Web-Ebene entgegenzunehmen und an WebLogic-Anwendungsserver weiterzuleiten — es arbeitet also an einer Vertrauensgrenze und hält die Konnektivität, über die externe Anfragen die interne Anwendungsinfrastruktur erreichen. Der Defekt besteht darin, dass der Zugriff auf die Komponente für unauthentifizierte Netzwerk-Clients nicht ordnungsgemäß beschränkt wird, sodass ein Angreifer, der HTTP-Anfragen senden kann, unbefugten Lesezugriff auf alle vom Plug-in erreichbaren Daten sowie die Fähigkeit zum Anlegen, Löschen oder Verändern kritischer Daten erlangt. Der CVSS-Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:N kodiert exakt Oracles eigene Charakterisierung — netzwerkseitig erreichbar, geringe Komplexität, keine Privilegien, keine Interaktion, geänderter Scope, hohe Vertraulichkeits- und Integritätsauswirkung, keine Verfügbarkeitsauswirkung — und allein der Scope-Wechsel hebt einen sonst bei 9.1 liegenden Wert auf die Obergrenze von 10.0, entsprechend Oracles Aussage, dass zusätzliche Produkte erheblich betroffen sein können.
Häufig gestellte Fragen
Wird CVE-2026-21962 aktiv ausgenutzt?
Ja. Die CISA hat CVE-2026-21962 mit einer inzwischen verstrichenen Behebungsfrist zum 27. August 2026 in ihren Katalog bekannter ausgenutzter Schwachstellen aufgenommen, und der EPSS-Wert von etwa 42 % liegt im 98. Perzentil — unter den höchsten derzeit erfassten Ausnutzungswahrscheinlichkeiten und ein Hinweis auf anhaltende Angriffsaktivität gegen exponierte Instanzen.
Welche Produkte sind von CVE-2026-21962 betroffen?
Betroffen sind Oracle HTTP Server und das Oracle WebLogic Server Proxy Plug-in in den unterstützten Versionen 12.2.1.4.0, 14.1.1.0.0 und 14.1.2.0.0. Das WebLogic Server Proxy Plug-in für IIS ist nur in Version 12.2.1.4.0 betroffen, das Plug-in für Apache HTTP Server dagegen in allen drei.
Wie behebe ich CVE-2026-21962?
Spielen Sie den Patch aus Oracles Critical Patch Update vom Januar 2026 — oder ein späteres kumulatives CPU — für Oracle HTTP Server und das WebLogic Server Proxy Plug-in ein. Da die Frist verstrichen ist und der Fehler ohne Authentifizierung ausnutzbar war, sollten Sie zusätzlich den HTTP-Zugriff auf die Proxy-Ebene beschränken, die dahinterliegende WebLogic-Umgebung auf unautorisierte Änderungen untersuchen und Administrations- und Datenquellenzugangsdaten rotieren.
Wie schwerwiegend ist CVE-2026-21962?
Sie ist kritisch, mit dem maximalen CVSS-3.1-Basiswert von 10.0. Die Schwachstelle ist unauthentifiziert über HTTP mit geringer Komplexität und ohne Benutzerinteraktion ausnutzbar und überschreitet die Sicherheitsgrenze — Oracle hält fest, dass Angriffe zusätzliche Produkte erheblich beeinträchtigen können — und gewährt vollständigen Lesezugriff sowie die Fähigkeit, kritische Daten anzulegen, zu löschen oder zu verändern, allerdings ohne direkte Verfügbarkeitsauswirkung.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.