CISA setzt 72 Stunden Frist für Bundesbehörden zur Schließung einer 7-monatigen Schwachstelle im Oracle WebLogic
Die kritische Schwachstelle CVE-2026-21962 im Proxy-Plugin von WebLogic wurde im Januar gepatcht, verursachte über 140.000 Angriffsversuche in 21 Ländern und wurde erst jetzt auf die Liste aktiver Ausnutzung der amerikanischen Behörde aufgenommen.
Die amerikanische Cybersecurity-Agentur CISA hat am Montag die CVE-2026-21962 zu ihrem Katalog der aktiv ausgenutzten Schwachstellen hinzugefügt. Die Frist, die den Bundesbehörden zur Behebung eingeräumt wird, endet am 27. August: drei Kalendertage. Der Fehler mit einer maximalen Schwere von CVSS 10,0 betrifft den Oracle HTTP Server und das Oracle WebLogic Server Proxy-Plugin in den Versionen 12.2.1.4.0, 14.1.1.0.0 und 14.1.2.0.0. Er ermöglicht es einem Angreifer ohne Berechtigungen, auf den gesamten Inhalt zuzugreifen, ihn zu ändern oder zu löschen, der vom betroffenen Komponenten bereitgestellt wird.
Der Patch existiert seit dem 20. Januar. Innerhalb von 48 Stunden nach Veröffentlichung erschien ein Proof-of-Concept auf GitHub. Bis zum 3. Februar hatten Forscher von CloudSEK und Imperva bereits 140.000 Versuche zur Ausnutzung in 21 Ländern registriert. Die Hinzufügung zur KEV erfolgt somit sieben Monate, nachdem die Schwachstelle in Produktion ausgenutzt wurde, und Wochen nachdem NHS England Digital eine formelle Mitteilung an Gesundheitsdienstleister im Vereinigten Königreich herausgegeben hatte, in der um die sofortige Anwendung des Patches gebeten wurde.
Die neue Dringlichkeit ergibt sich aus der verbindlichen Betriebsrichtlinie BOD 26-04, deren strikte Einhaltung Washington im zweiten Quartal verlangt. Gemäß der BOD müssen KEV-Elemente innerhalb kurzer Zeitfenster behoben werden, wenn sie der öffentlichen Internetexposition ausgesetzt sind. Drei Tage, im Falle einer kritischen Schwachstelle in Software, die als HTTP-Proxy in Tausenden von Bundesinstanzen dient, ist die operative Grenze, die die CISA als Standard für aktive Vorfälle verwendet.
Der technische Motor der Schwachstelle
Das Problem liegt nicht im WebLogic selbst, sondern in der Inkonsistenz zwischen der Art und Weise, wie der Oracle HTTP Server, der das Proxy-Plugin betreibt, empfangene URIs normalisiert, und wie das Backend WebLogic denselben Pfad interpretiert. Die doppelte Dekodierung öffnet die Tür für Anfragen, die die Authentifizierungsebene durchlaufen, als ob sie an öffentliche RoutenAdressiert wären, jedoch mit dem ursprünglichen Pfad im Backend ankommen, was uneingeschränkten Zugang ermöglicht. Es handelt sich um eine Variation eines Musters, das bereits in früheren Jahren IIS- und Apache-Proxys zu Fall gebracht hat, und der Grund, warum NetSPI die Ausnutzung als trivial reproduzierbar einstuft.
Es gibt keine stabile Interims-Minderung. Die Empfehlung von Oracle ist, den Patch von Januar ohne Ausnahmen anzuwenden. Wo der Patch noch nicht angewendet werden kann, besteht der Konsens unter den Scanner-Anbietern darin, die Komponente hinter einem WAF zu isolieren, der so konfiguriert ist, dass er Anfragen mit mehreren Kodierungen im Pfad ablehnt, sowie Protokolle zu auditieren, um nach dem spezifischen Musterausnutzung zu suchen.
Wo die tatsächliche Exposition liegt
Im Vereinigten Königreich hat NHS England Digital einen Patch-Alarm für Gesundheitsdienstleister veröffentlicht, die WebLogic zur Integration von Patientenakten verwenden. Britische Banken nutzen immer noch WebLogic in veralteten Front-Office-Stacks. Sieben Monate nach dem Patch und mit 140.000 registrierten Ausnutzungsversuchen kehrt das Thema auf die Tagesordnung der Technologierisikobereiche in London zurück, gestützt auf die Anforderungen der CISA als internationale Benchmark.
In Japan bleibt WebLogic ein Referenzkomponente für die Integration in großen Banken und Industrie-Konglomeraten. Die Ausnutzung ist entfernt und erfordert keine Berechtigungen, was das Risiko für Teams erhöht, die immer noch Instanzen mit teilweiser Internetexposition betreiben, selbst hinter einer Firewall. Die Hinzufügung zur KEV durch die CISA erzeugt Druck, damit die JPCERT/CC ihre Mitteilung aktualisiert, da die amerikanische Benchmark in der Regel die Prüfungsrichtlinien der großen japanischen Häuser nährt.
Das Muster, das die CISA auferlegt
Die Hinzufügung einer im Januar gepatchten Schwachstelle zur KEV ist eine Botschaft an den Markt. Die CISA akzeptiert kurze Fenster von Erkennung zu Behebung, selbst wenn die aktive Ausnutzung über Monate toleriert wurde. Für Sicherheitsdirektoren, die die KEV weiterhin als Vorschlagsliste betrachten, ist das Zeichen unterschiedlich: Die Behörde nutzt jetzt die Einbeziehung als regulatorischen Hammer, verkürzt die Fristen und fordert Beweise für die Behebung. Dies gilt für den Bundessektor, dient jedoch als Mindestanforderung für Prüfer in jeder Gerichtsbarkeit, die sich an der amerikanischen Politik orientiert. Sicherheitsteams, die bereits monatliche Scans in WebLogic durchgeführt haben, müssen die unangenehme Frage beantworten: Warum wurde die exponierte Instanz zwischen Januar und August weiterhin ausgesetzt?