Oracle CVE-2026-21962 gelangt in den KEV: maximale Punktzahl und unbefugter Zugriff auf WebLogic

Eine kritische Schwachstelle, veröffentlicht im Januar, jetzt im Katalog der ausgenutzten Schwachstellen

Die CISA hat die Schwachstelle CVE-2026-21962 in den Katalog Known Exploited Vulnerabilities (KEV) aufgenommen. Die Aufnahme ist am 24. August 2026 registriert; die Frist für die Behebung durch US-Bundesbehörden ist auf den 27. August 2026 festgelegt.

Die Schwachstelle betrifft Oracle HTTP Server und Oracle WebLogic Server Proxy Plug-in für Apache HTTP Server und für IIS. Der CVSS-v3-Wert beträgt 10,0, das Maximum. Die Art des Fehlers ist eine unsachgemäße Zugriffskontrolle (CWE-284): Ein nicht authentifizierter Angreifer kann über das Netzwerk per HTTP agieren, ohne Anmeldeinformationen oder Benutzerinteraktion zu benötigen.

Laut CVE-Program-Datensatz wurde die Schwachstelle am 20. Januar 2026 veröffentlicht. Die technische Beschreibung besagt, dass ein erfolgreicher Angriff zu unbefugtem Zugriff, Erstellung, Löschung oder Änderung kritischer Daten und in einigen Fällen zu vollständigem Zugriff auf die über die betroffenen Komponenten zugänglichen Daten führen kann.

Technische Details: Vektor, Scope-Änderung und Auswirkungen auf Daten

Der offizielle CVSS-3.1-Vektor lautet:

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:N

Übersetzt: Angriff über das Netzwerk, geringe Komplexität, keine erforderlichen Berechtigungen, keine Benutzerinteraktion, scope changed (S:C), hohe Auswirkungen auf Vertraulichkeit und Integrität, keine Auswirkungen auf die Verfügbarkeit. Die Scope-Änderung ist ein zentraler Punkt: Obwohl die Schwachstelle in Oracle-Komponenten lokalisiert ist, kann sie andere verbundene Systeme oder Anwendungen betreffen.

Der NVD-Eintrag klassifiziert die Schwachstelle als CWE-284 (Improper Access Control), nicht als Remote Code Execution. Ein Bericht von CloudSEK aus März 2026, zitiert von Security Affairs, bezeichnet sie hingegen als kritische RCE ohne Authentifizierung mit CVSS 10,0. Beide Zuordnungen sollten wiedergegeben werden: Der offizielle Vektor enthält keine Auswirkungen auf die Verfügbarkeit, und die CVE-Program-Beschreibung spricht von Datenzugriff und -änderung, nicht ausdrücklich von Codeausführung.

Betroffene Versionen und gefährdete Umgebungen

Die betroffenen Versionen laut CVE-Program-Datensatz sind:

• Oracle HTTP Server und Oracle WebLogic Server Proxy Plug-in (Apache HTTP Server): 12.2.1.4.0, 14.1.1.0.0, 14.1.2.0.0
• Oracle WebLogic Server Proxy Plug-in für IIS: nur Version 12.2.1.4.0

Der NVD-Eintrag listet im Produktfeld nur die Versionen 12.2.1.4.0 für beide Komponenten auf, aber die erweiterte Beschreibung und der CVE-Program-Datensatz schließen auch 14.1.1.0.0 und 14.1.2.0.0 ein. Es gilt die Angabe des CVE-Programms.

Eine im Internet exponierte Oracle-WebLogic-Proxy-Komponente kann einem Angreifer einen Pfad zu kritischen Backend-Systemen bieten, ohne Authentifizierung zu erfordern. Dies macht Umgebungen besonders riskant, die das Plug-in oder den HTTP-Server direkt ohne angemessene Netzwerkbeschränkungen veröffentlichen.

Aktive Ausnutzung bereits zwischen Januar und Februar beobachtet

Die Ausnutzungsaktivität ist nicht theoretisch. Ein High-Interaction-Honeypot von CloudSEK, aktiv vom 22. Januar bis 3. Februar 2026, simulierte einen Oracle WebLogic Server 14.1.1.0.0 und verzeichnete sofortige und weit verbreitete Angriffe auf CVE-2026-21962. In dem Bericht wird die Schwachstelle als kritische RCE ohne Authentifizierung beschrieben.

Darüber hinaus erfasste der Honeypot Versuche gegen historische RCE-Schwachstellen von WebLogic:

• CVE-2020-14882/14883 — RCE über die Konsole (HTTP, ohne Authentifizierung)
• CVE-2020-2551 — RCE über IIOP
• CVE-2017-10271 — RCE über WLS-WSAT (T3, ohne Authentifizierung)

CloudSEK kommt zu dem Schluss, dass Bedrohungsakteure weiterhin auf eine kleine Gruppe hochwirksamer und einfach auszunutzender Schwachstellen abzielen, um WebLogic-Umgebungen zu kompromittieren. Das Vorhandensein von drei CVEs aus den Jahren 2020 und 2017 neben der neuen Schwachstelle deutet darauf hin, dass viele Systeme weiterhin für seit Jahren bekannte Probleme anfällig sind.

CISA, KEV und operative Richtlinien: Was sich für Bundesbehörden ändert

Die Aufnahme in den KEV-Katalog bringt Verpflichtungen für die zivilen und exekutiven US-Bundesbehörden (FCEB) mit sich. Für CVE-2026-21962 ist die Frist für die Behebung der 27. August 2026. Die von CISA geforderte Maßnahme lautet: Minderungen gemäß den Anweisungen des Anbieters anwenden, der Binding Operational Directive BOD 22-01 für Cloud-Dienste folgen oder die Nutzung des Produkts einstellen, wenn keine Minderungen verfügbar sind.

Die BOD 22-01, „Reducing the Significant Risk of Known Exploited Vulnerabilities“, verlangt die Behebung bis zum angegebenen Datum. Security Affairs zitiert diese Richtlinie im Zusammenhang mit der Oracle-Schwachstelle.

Parallel dazu hat die CISA am 21. August 2026 auch CVE-2026-73570 in den KEV aufgenommen, eine OS-Command-Injection in Zimbra Collaboration Suite (ZCS). Der offizielle Alert zu dieser CVE zitiert die BOD 26-04, „Prioritizing Security Updates Based on Risk“, die Anforderungen an das Schwachstellenmanagement für FCEB-Behörden festlegt und CVEs aus dem KEV auf öffentlich exponierten Assets priorisiert. Für Zimbra war die Frist für Bundesbehörden der 24. August 2026. Die beiden Ergänzungen sollten nicht verwechselt werden: Der offizielle Alert vom 21. August betrifft Zimbra, während die Daten zu Oracle aus NVD, CVE Program und Security Affairs stammen.

Was Unternehmen tun müssen

Für CVE-2026-21962 sind im öffentlichen Datensatz keine spezifischen Patch-Nummern angegeben. Die von CISA geforderte Maßnahme ist allgemein: Minderungen gemäß den Anweisungen des Anbieters anwenden oder das Produkt einstellen. Private Organisationen sind aufgerufen, den KEV-Katalog zu konsultieren und die in ihrer Infrastruktur vorhandenen Schwachstellen zu beheben.

Praktisch gesehen besteht die Priorität darin, die Exposition von Oracle-WebLogic-Proxy-Komponenten im Internet zu reduzieren. Falls das Plug-in oder der HTTP-Server nicht von außen erreichbar sein muss, sollte man sie hinter VPN oder Firewalls mit restriktiven Regeln platzieren. Für die vom Honeypot erfassten historischen CVEs gelten weiterhin die bereits bekannten Hinweise: Anbieter-Updates für CVE-2017-10271, CVE-2020-14882 und CVE-2020-14883, Minderungen oder Einstellung für CVE-2020-2551.

Der Kontext: Oracle und jüngste Vorgänge im KEV

Die Aufnahme von CVE-2026-21962 ist kein Einzelfall. In den letzten 90 Tagen wurden auch andere Schwachstellen im Zusammenhang mit Oracle und verbundenen Anbietern in den KEV-Katalog aufgenommen: CVE-2026-46817 (15. Juli 2026), CVE-2026-35273 (12. Juni 2026, mit Ransomware in Verbindung gebracht) und CVE-2024-21182 (1. Juni 2026). Der Druck auf das Oracle-Ökosystem bleibt hoch, WebLogic und Middleware-Komponenten werden weiterhin kontinuierlich ins Visier genommen.

Unternehmen, die Oracle HTTP Server oder die Proxy-Plug-ins für WebLogic einsetzen, sollten sofort die installierten Versionen überprüfen und mit den angegebenen abgleichen. Die US-Bundesfrist ist nahe, aber das Risiko betrifft nicht nur den öffentlichen Sektor: Der CloudSEK-Honeypot hat gezeigt, dass Angriffe automatisch und ohne Authentifizierung starten.