Mittel28 / 100Konfidenz: Mittel

CVSS10.0EPSS0.5 %Über Netz erreichbarOhne AnmeldungOhne Zutun des Nutzers

Installieren Sie umgehend die neuesten Sicherheitsupdates von Oracle für alle betroffenen Oracle Fusion Middleware-Installationen.

▸Herleitung der Bewertung(2)

Wie der Wert zustande kommt

Hoechster CVSS-Basiswert 10.0+18
Ohne Anmeldung ueber das Netz ausnutzbar (CVE-2026-33186, CVSS-Vektor AV:N/PR:N)+10

Woraus sich die Konfidenz ergibt

Nur ein Herausgeber — keine Gegenlesung
Darunter eine behoerdliche Primaerquelle
Strukturierte CVE-Daten aus der NVD vorhanden

Die Konfidenz misst die Belegqualität, nicht die Schwere.

Einschränkungen

Schmale Datenlage: der Wert beruht auf wenigen Einzelsignalen.

Bewertung v1.1, deterministisch berechnet. Bedrohungswert und Konfidenz sind getrennte Größen.· 2026-08-25 06:16 UTCMethodik

Red Team

[NEU] [hoch] Oracle Fusion Middleware: Mehrere Schwachstellen

CERT-Bund·19. August 2026, 06:51

Originalartikel lesen bei CERT-Bund

Mehrere Schwachstellen in Oracle Fusion Middleware ermöglichen es Angreifern, die Vertraulichkeit, Integrität und Verfügbarkeit zu kompromittieren. Betroffen sind Nutzer von Oracle Fusion Middleware. Es wird dringend empfohlen, die bereitgestellten Sicherheitsupdates umgehend zu installieren, um Risiken zu minimieren.

SecBoard-Einordnung

Organisationen, die Oracle Fusion Middleware einsetzen, sind einem erhöhten Risiko von Datenlecks, Datenmanipulation und Dienstunterbrechungen ausgesetzt. Die Ausnutzung dieser Schwachstellen könnte zu erheblichen Betriebsbeeinträchtigungen führen.

Realistisch schlimmster Fall: Der schlimmste Fall ist eine vollständige Kompromittierung der Vertraulichkeit, Integrität und Verfügbarkeit der Systeme, die Oracle Fusion Middleware nutzen. Dies könnte zu unbefugtem Zugriff auf sensible Daten, Datenkorruption und Ausfällen kritischer Dienste führen.

Im erfassten Bestand

▸CVE-2026-42587 kommt damit in 5 erfassten Meldungen der letzten 90 Tage vor.

Gezählt im eigenen Bestand, rückwärts ab dem Erscheinungsdatum. Das ist Belegstärke, keine Aussage über die Häufigkeit in der Welt.

Key Facts· 12 / 262

Nach Dringlichkeit sortiert: KEV-Eintrag, dann CVSS, dann EPSS. Vollstaendige Liste im Meldungstext.

CVE-2026-61241

CVSS: 10.0 · CRITICAL
EPSS: 0.5%
Über das Netz: ja
Anmeldung nötig: nein
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Vertraulichkeit, Integrität, Verfügbarkeit
Patch: unbekannt
Zuweisende CNA: secalert_us@oracle.com

CVE-2026-61003

CVSS: 9.9 · CRITICAL
EPSS: 0.4%
Über das Netz: ja
Anmeldung nötig: ja
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Vertraulichkeit, Integrität, Verfügbarkeit
Patch: unbekannt
Zuweisende CNA: secalert_us@oracle.com

CVE-2026-60702

CVSS: 9.9 · CRITICAL
EPSS: 0.4%
Über das Netz: ja
Anmeldung nötig: ja
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Vertraulichkeit, Integrität, Verfügbarkeit
Patch: unbekannt
Zuweisende CNA: secalert_us@oracle.com

CVE-2026-60730

CVSS: 9.9 · CRITICAL
EPSS: 0.4%
Über das Netz: ja
Anmeldung nötig: ja
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Vertraulichkeit, Integrität, Verfügbarkeit
Patch: unbekannt
Zuweisende CNA: secalert_us@oracle.com

CVE-2026-60720

CVSS: 9.9 · CRITICAL
EPSS: 0.4%
Über das Netz: ja
Anmeldung nötig: ja
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Vertraulichkeit, Integrität, Verfügbarkeit
Patch: unbekannt
Zuweisende CNA: secalert_us@oracle.com

CVE-2026-62608

CVSS: 9.9 · CRITICAL
EPSS: 0.4%
Über das Netz: ja
Anmeldung nötig: ja
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Vertraulichkeit, Integrität, Verfügbarkeit
Patch: unbekannt
Zuweisende CNA: secalert_us@oracle.com

CVE-2026-73930

CVSS: 9.9 · CRITICAL
EPSS: 0.4%
Über das Netz: ja
Anmeldung nötig: nein
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Vertraulichkeit, Integrität, Verfügbarkeit
Patch: unbekannt
Zuweisende CNA: secalert_us@oracle.com

CVE-2026-60916

CVSS: 9.9 · CRITICAL
EPSS: 0.4%
Über das Netz: ja
Anmeldung nötig: nein
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Vertraulichkeit, Integrität, Verfügbarkeit
Patch: unbekannt
Zuweisende CNA: secalert_us@oracle.com

CVE-2026-60990

CVSS: 9.9 · CRITICAL
EPSS: 0.3%
Über das Netz: ja
Anmeldung nötig: ja
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Vertraulichkeit, Integrität, Verfügbarkeit
Patch: unbekannt
Zuweisende CNA: secalert_us@oracle.com

CVE-2026-61066

CVSS: 9.9 · CRITICAL
EPSS: 0.3%
Über das Netz: ja
Anmeldung nötig: ja
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Vertraulichkeit, Integrität, Verfügbarkeit
Patch: unbekannt
Zuweisende CNA: secalert_us@oracle.com

CVE-2026-61248

CVSS: 9.9 · CRITICAL
EPSS: 0.3%
Über das Netz: ja
Anmeldung nötig: ja
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Vertraulichkeit, Integrität, Verfügbarkeit
Patch: unbekannt
Zuweisende CNA: secalert_us@oracle.com

CVE-2026-60995

CVSS: 9.9 · CRITICAL
EPSS: 0.3%
Über das Netz: ja
Anmeldung nötig: ja
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Vertraulichkeit, Integrität, Verfügbarkeit
Patch: unbekannt
Zuweisende CNA: secalert_us@oracle.com

Betroffen

Alle Nutzer von Oracle Fusion Middleware sind betroffen.

Hersteller

Oracle

Produkte

HelidonIdentity Manager2 VersionenIdentity Manager Connector2 VersionenInternet Directory2 VersionenManaged File Transfer2 VersionenReports DeveloperWebcenter Enterprise Capture2 VersionenWebcenter Portal2 VersionenWeblogic Server4 Versionen

▸ CPE-Rohbezeichner anzeigen (18)

cpe:2.3:a:oracle:helidon:4.5.3:*:*:*:*:*:*:*
cpe:2.3:a:oracle:identity_manager:12.2.1.4.0:*:*:*:*:*:*:*
cpe:2.3:a:oracle:identity_manager:14.1.2.1.0:*:*:*:*:*:*:*
cpe:2.3:a:oracle:identity_manager_connector:12.2.1.4.0:*:*:*:*:*:*:*
cpe:2.3:a:oracle:identity_manager_connector:14.1.2.1.0:*:*:*:*:*:*:*
cpe:2.3:a:oracle:internet_directory:12.2.1.4.0:*:*:*:*:*:*:*
cpe:2.3:a:oracle:internet_directory:14.1.2.1.0:*:*:*:*:*:*:*
cpe:2.3:a:oracle:managed_file_transfer:12.2.1.4.0:*:*:*:*:*:*:*
cpe:2.3:a:oracle:managed_file_transfer:14.1.2.0.0:*:*:*:*:*:*:*
cpe:2.3:a:oracle:reports_developer:12.2.1.19.0:*:*:*:*:*:*:*
cpe:2.3:a:oracle:webcenter_enterprise_capture:12.2.1.4.0:*:*:*:*:*:*:*
cpe:2.3:a:oracle:webcenter_enterprise_capture:14.1.2.0.0:*:*:*:*:*:*:*
cpe:2.3:a:oracle:webcenter_portal:12.2.1.4.0:*:*:*:*:*:*:*
cpe:2.3:a:oracle:webcenter_portal:14.1.2.0.0:*:*:*:*:*:*:*
cpe:2.3:a:oracle:weblogic_server:12.2.1.4.0:*:*:*:*:*:*:*
cpe:2.3:a:oracle:weblogic_server:14.1.1.0.0:*:*:*:*:*:*:*
cpe:2.3:a:oracle:weblogic_server:14.1.2.0.0:*:*:*:*:*:*:*
cpe:2.3:a:oracle:weblogic_server:15.1.1.0.0:*:*:*:*:*:*:*

Prüfen

▸Überprüfen Sie, ob alle Oracle Fusion Middleware-Installationen auf dem neuesten Patch-Level sind.
▸Scannen Sie Ihre Oracle Fusion Middleware-Umgebungen auf bekannte Schwachstellen, die durch die Updates behoben werden sollen.

▸ 1 weitere

▸Überprüfen Sie die Protokolle von Oracle Fusion Middleware auf Anzeichen von unbefugtem Zugriff oder ungewöhnlicher Aktivität, die auf eine Ausnutzung hindeuten könnten.

Offene Punkte

▸ anzeigen

▸Spezifische CVE-IDs der Schwachstellen sind nicht im Artikel genannt.
▸Details zu den genauen Angriffsvektoren (z.B. spezifische Ports, Protokolle) sind nicht im Artikel genannt.
▸Informationen über bekannte Ausnutzungen im Umlauf sind nicht im Artikel genannt.
▸Die genauen Versionen von Oracle Fusion Middleware, die betroffen sind, sind nicht im Artikel genannt.

Red-Team-Relevanz

Was heißt das für dein nächstes Assessment?

▸ Einordnung anzeigen

Initial Access möglich?Unklar
Privilege Escalation relevant?Unklar
Exploit öffentlich verfügbar?Ja
Detection / Logging prüfbar?Ja
Für Purple-Team-Szenario geeignet?Ja

Kundenfragen

Haben wir Windows extern erreichbar?
Haben wir Oracle extern erreichbar?

MITRE ATT&CK(1)

Techniken aus allen Quellen zusammengeführt — nach Stärke des Belegs sortiert.

T1190Exploit Public-Facing Applicationzugeordnet

„Mehrere Schwachstellen in Oracle Fusion Middleware ermöglichen es Angreifern...“

Mehrere Herkünfte bei derselben Technik heißt: mehrere unabhängige Wege führen dorthin.

Quellen & Belege· 1 Quelle

CERT-BundPrimärbelegPUBLICZuverlässigkeit Adiese Meldung

Behoerdliche Veroeffentlichung mit Amtspflicht zur Richtigkeit, frei zugaenglich.

Nur eine Quelle — der Sachverhalt ist an keiner zweiten Stelle gegengelesen.

Verknüpfte Intelligence

Dieselben Entitäten an anderer Stelle auf SecBoard.

Themen

hoch

Vollständigen Artikel lesen bei CERT-Bund

Erwähnte CVEs (12)

CVE-2026-61241CRITICAL(10.0)

EPSS 0.5%

Vulnerability in the Oracle Internet Directory product of Oracle Fusion Middleware (component: OID LDAP Server). Supported versions that are affected are 12.2.1.4.0 and 14.1.2.1.0. Easily exploitable vulnerability allows unauthenticated attacker with network access via LDAP to compromise Oracle Internet Directory. While the vulnerability is in Oracle Internet Directory, attacks may significantly impact additional products (scope change). Successful attacks of this vulnerability can result in takeover of Oracle Internet Directory. CVSS 3.1 Base Score 10.0 (Confidentiality, Integrity and Availability impacts). CVSS Vector: (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H).

Details NVD

CVE-2026-61003CRITICAL(9.9)

EPSS 0.4%

Vulnerability in the Oracle Managed File Transfer product of Oracle Fusion Middleware (component: MFT Runtime Server). Supported versions that are affected are 12.2.1.4.0 and 14.1.2.0.0. Easily exploitable vulnerability allows low privileged attacker with network access via T3, IIOP to compromise Oracle Managed File Transfer. While the vulnerability is in Oracle Managed File Transfer, attacks may significantly impact additional products (scope change). Successful attacks of this vulnerability can result in takeover of Oracle Managed File Transfer. CVSS 3.1 Base Score 9.9 (Confidentiality, Integrity and Availability impacts). CVSS Vector: (CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H).

Details NVD

CVE-2026-60702CRITICAL(9.9)

EPSS 0.4%

Vulnerability in the Oracle WebLogic Server product of Oracle Fusion Middleware (component: Core). Supported versions that are affected are 12.2.1.4.0, 14.1.1.0.0, 14.1.2.0.0 and 15.1.1.0.0. Easily exploitable vulnerability allows low privileged attacker with network access via T3, IIOP to compromise Oracle WebLogic Server. While the vulnerability is in Oracle WebLogic Server, attacks may significantly impact additional products (scope change). Successful attacks of this vulnerability can result in takeover of Oracle WebLogic Server. CVSS 3.1 Base Score 9.9 (Confidentiality, Integrity and Availability impacts). CVSS Vector: (CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H).

Details NVD

CVE-2026-60730CRITICAL(9.9)

EPSS 0.4%

Vulnerability in the Oracle WebCenter Portal product of Oracle Fusion Middleware (component: Composer). Supported versions that are affected are 12.2.1.4.0 and 14.1.2.0.0. Easily exploitable vulnerability allows low privileged attacker with network access via HTTP to compromise Oracle WebCenter Portal. While the vulnerability is in Oracle WebCenter Portal, attacks may significantly impact additional products (scope change). Successful attacks of this vulnerability can result in takeover of Oracle WebCenter Portal. CVSS 3.1 Base Score 9.9 (Confidentiality, Integrity and Availability impacts). CVSS Vector: (CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H).

Details NVD

CVE-2026-60720CRITICAL(9.9)

EPSS 0.4%

Vulnerability in the Oracle Identity Manager product of Oracle Fusion Middleware (component: OIM Legacy UI). Supported versions that are affected are 12.2.1.4.0 and 14.1.2.1.0. Easily exploitable vulnerability allows low privileged attacker with network access via HTTP to compromise Oracle Identity Manager. While the vulnerability is in Oracle Identity Manager, attacks may significantly impact additional products (scope change). Successful attacks of this vulnerability can result in takeover of Oracle Identity Manager. CVSS 3.1 Base Score 9.9 (Confidentiality, Integrity and Availability impacts). CVSS Vector: (CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H).

Details NVD

CVE-2026-62608CRITICAL(9.9)

EPSS 0.4%

Vulnerability in the Oracle Reports Developer product of Oracle Fusion Middleware (component: Security and Authentication). The supported version that is affected is 12.2.1.19.0. Easily exploitable vulnerability allows low privileged attacker with network access via CORBA to compromise Oracle Reports Developer. While the vulnerability is in Oracle Reports Developer, attacks may significantly impact additional products (scope change). Successful attacks of this vulnerability can result in takeover of Oracle Reports Developer. CVSS 3.1 Base Score 9.9 (Confidentiality, Integrity and Availability impacts). CVSS Vector: (CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H).

Details NVD

CVE-2026-73930CRITICAL(9.9)

EPSS 0.4%

Vulnerability in the Helidon product of Oracle Fusion Middleware (component: Imperative Web Server). Supported versions that are affected are 3.0.0-3.2.19 and 4.0.0-4.5.2. Easily exploitable vulnerability allows unauthenticated attacker with network access via HTTP to compromise Helidon. While the vulnerability is in Helidon, attacks may significantly impact additional products (scope change). Successful attacks of this vulnerability can result in unauthorized creation, deletion or modification access to critical data or all Helidon accessible data as well as unauthorized read access to a subset of Helidon accessible data and unauthorized ability to cause a partial denial of service (partial DOS) of Helidon. CVSS 3.1 Base Score 9.9 (Confidentiality, Integrity and Availability impacts). CVSS Vector: (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:L/I:H/A:L).

Details NVD

CVE-2026-60916CRITICAL(9.9)

EPSS 0.4%

Vulnerability in the Oracle WebCenter Enterprise Capture product of Oracle Fusion Middleware (component: Client Bundle). Supported versions that are affected are 12.2.1.4.0 and 14.1.2.0.0. Easily exploitable vulnerability allows unauthenticated attacker with network access via HTTP to compromise Oracle WebCenter Enterprise Capture. While the vulnerability is in Oracle WebCenter Enterprise Capture, attacks may significantly impact additional products (scope change). Successful attacks of this vulnerability can result in unauthorized creation, deletion or modification access to critical data or all Oracle WebCenter Enterprise Capture accessible data as well as unauthorized read access to a subset of Oracle WebCenter Enterprise Capture accessible data and unauthorized ability to cause a partial denial of service (partial DOS) of Oracle WebCenter Enterprise Capture. CVSS 3.1 Base Score 9.9 (Confidentiality, Integrity and Availability impacts). CVSS Vector: (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:L/I:H/A:L).

Details NVD

CVE-2026-60990CRITICAL(9.9)

EPSS 0.3%

Vulnerability in the Oracle Identity Manager Connector product of Oracle Fusion Middleware (component: Core). Supported versions that are affected are 12.2.1.4.0 and 14.1.2.1.0. Easily exploitable vulnerability allows low privileged attacker with network access via TLS to compromise Oracle Identity Manager Connector. While the vulnerability is in Oracle Identity Manager Connector, attacks may significantly impact additional products (scope change). Successful attacks of this vulnerability can result in takeover of Oracle Identity Manager Connector. CVSS 3.1 Base Score 9.9 (Confidentiality, Integrity and Availability impacts). CVSS Vector: (CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H).

Details NVD

CVE-2026-61066CRITICAL(9.9)

EPSS 0.3%

Vulnerability in the Oracle Identity Manager product of Oracle Fusion Middleware (component: OIM Legacy UI). Supported versions that are affected are 12.2.1.4.0 and 14.1.2.1.0. Easily exploitable vulnerability allows low privileged attacker with network access via RMI to compromise Oracle Identity Manager. While the vulnerability is in Oracle Identity Manager, attacks may significantly impact additional products (scope change). Successful attacks of this vulnerability can result in takeover of Oracle Identity Manager. CVSS 3.1 Base Score 9.9 (Confidentiality, Integrity and Availability impacts). CVSS Vector: (CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H).

Details NVD

CVE-2026-61248CRITICAL(9.9)

EPSS 0.3%

Vulnerability in the Oracle Internet Directory product of Oracle Fusion Middleware (component: OID LDAP Server). Supported versions that are affected are 12.2.1.4.0 and 14.1.2.1.0. Easily exploitable vulnerability allows low privileged attacker with network access via LDAP to compromise Oracle Internet Directory. While the vulnerability is in Oracle Internet Directory, attacks may significantly impact additional products (scope change). Successful attacks of this vulnerability can result in takeover of Oracle Internet Directory. CVSS 3.1 Base Score 9.9 (Confidentiality, Integrity and Availability impacts). CVSS Vector: (CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H).

Details NVD

CVE-2026-60995CRITICAL(9.9)

EPSS 0.3%

Details NVD

GitHub Advisories (1)

GHSA-f6hv-jmp6-3vwv· CVE-2026-42587

io.netty:netty-codec-http

Netty: HttpContentDecompressor maxAllocation bypass when Content-Encoding set to br/zstd/snappy leads to decompression bomb DoS