Die neu entdeckte Schwachstelle CVE-2026-21992 erhielt sofort eine Kritikalitätsbewertung von 9,8 auf der CVSS-Skala (Common Vulnerability Scoring System) – ein Zeichen für extreme Dringlichkeit. Die Lücke betrifft die HTTP-API-Schnittstelle von Oracles Identitäts- und Web-Services-Sicherheitsstack und erfordert nur geringe Komplexität für einen erfolgreichen Angriff.
Die potenziellen Auswirkungen sind erheblich: Angreifer könnten die Identitätsverwaltung einer Organisation kompromittieren, Rollen und Richtlinien manipulieren und damit laterale Bewegungen im Netzwerk ermöglichen. Zusätzlich besteht die Möglichkeit, Sicherheitsrichtlinien im OWSM zu deaktivieren, was weitere Cyberangriffe erleichtert. Sensitive Daten, Serviceausfälle und unbefugte Befehlsausführung sind ebenfalls denkbar.
Bemerkenswert ist die Ähnlichkeit zu CVE-2025-61757, einer weiteren OIM-Schwachstelle, die im Oktober 2025 bekannt wurde und ebenfalls eine CVSS-Bewertung von 9,8 erhielt. Beide Lücken betreffen die REST-WebServices-Komponente von OIM, beeinflussen die gleichen Softwareversionen (12.2.1.4.0 und 14.1.2.1.0) und ermöglichen RCE. Sicherheitsexperten spekulieren über mögliche Verbindungen zwischen den beiden Schwachstellen, obwohl Oracle dazu keine Stellung genommen hat.
Das Oktober-Update CVE-2025-61757 wurde von Forschern als “relativ trivial und leicht ausnutzbar” beschrieben und wurde im November in das CISA-Katalog bekannter ausgenutzer Schwachstellen aufgenommen – erst die sechste Fusion-Middleware-Lücke überhaupt auf dieser Liste und die erste seit drei Jahren. Sicherheitsexperten von Tenable warnen, dass die neue Schwachstelle ähnlich leicht auszunutzen sein könnte und Angreifer möglicherweise bereits Exploits vorbereiten.
Zwar gibt es bislang keine dokumentierten Fälle von Angriffen in der Praxis, doch die Geschichte deutet darauf hin, dass dies bald ändern könnte. Die große Anzahl betroffener Organisationen – viele davon große Unternehmen mit komplexen IT-Landschaften – macht CVE-2026-21992 für sogenannte “Big Game Hunter” im Dark Web besonders interessant.
Für Unternehmen ist schnelles Handeln erforderlich. Allerdings erschweren die Größe und Komplexität moderner IT-Infrastrukturen den Patchprozess erheblich. Die Zeitspanne zwischen Patch-Verfügbarkeit und tatsächlicher Installation reicht von Tagen bis zu Monaten, abhängig von Patchmanagement-Richtlinien und Organisationsstruktur. Dies ist besonders problematisch, da bekannte Schwachstellen noch lange nach ihrer Veröffentlichung ausgenutzt werden.