Nieuwsbrief

Elke week de belangrijkste lekken in je mail.

CVE-2026-87346

Oracle HTTP Server: lek in WebLogic Server Proxy Plug-in

Hoog8,7
Door Jelmer SchoutenBijgewerkt op CVSS 3.1 · bron: NVD

Kerngegevens

Leverancier
Oracle
Soort software
basissoftware
Getroffen versies
Oracle HTTP Server 12.2.1.4.0, 14.1.2.0.0
Oplossing
Update beschikbaar
Opgeloste versie
Oracle HTTP Server patch uit de Critical Patch Update van oktober 2026
CVE gepubliceerd
20 oktober 2026
Gepubliceerd op LekkenRadar
21 oktober 2026
Laatst gewijzigd bij NVD
21 oktober 2026
Teams(opent in een nieuw venster)LinkedIn(opent in een nieuw venster)E-mail

Simpel uitgelegd

Wat is er aan de hand?

In Oracle HTTP Server zit een lek in de component Oracle WebLogic Server Proxy Plug-in for Oracle HTTP Server. Een aanvaller zonder inlogaccount kan het lek via het netwerk (HTTP) misbruiken. Dat is wel moeilijk te doen. Bij succes kan de aanvaller gevoelige gegevens inzien, aanpassen, verwijderen of aanmaken. De gevolgen kunnen ook andere producten treffen.

Wie loopt risico?

Je loopt risico als je Oracle HTTP Server (onderdeel van Oracle Fusion Middleware) gebruikt in versie 12.2.1.4.0 of 14.1.2.0.0. Het risico is groter als de server vanaf het netwerk of internet bereikbaar is. Het lek staat niet op de lijst van actief misbruikte lekken en er is geen publieke exploit bekend.

Wat moet je doen?

  1. Controleer of je Oracle HTTP Server gebruikt

    Ga na of Oracle HTTP Server draait in je omgeving en of het om versie 12.2.1.4.0 of 14.1.2.0.0 gaat.

  2. Installeer de patch van Oracle

    Oracle heeft het lek verholpen in de Critical Patch Update van oktober 2026. Zoek in het advies de patch voor jouw versie op en installeer die: https://www.oracle.com/security-alerts/cpuoct2026.html

  3. Beperk de blootstelling

    Zorg dat de server alleen bereikbaar is voor wie dat nodig heeft, bijvoorbeeld door toegang vanaf internet te beperken met een firewall.

  4. Houd je systemen in de gaten

    Controleer logbestanden op ongewone HTTP-verzoeken aan de server en zorg dat je beheerders weten waar je op moet letten.

  5. Meer lekken in dezelfde patchronde

    Dezelfde Critical Patch Update verhelpt ook een vergelijkbaar lek in de proxy-plug-in voor webservers van derden (CVE-2026-83379, https://lekkenradar.nl/cve/cve-2026-83379/) en een kritiek lek in WebLogic Server zelf (CVE-2026-83399, https://lekkenradar.nl/cve/cve-2026-83399/). Ook MySQL (CVE-2026-101781, https://lekkenradar.nl/cve/cve-2026-101781/) en Java SE (CVE-2026-91484, https://lekkenradar.nl/cve/cve-2026-91484/) krijgen fixes.

Deel dit lek

Teams(opent in een nieuw venster)LinkedIn(opent in een nieuw venster)E-mail
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen

Beschrijving

Het lek zit in de component Oracle WebLogic Server Proxy Plug-in for Oracle HTTP Server van Oracle HTTP Server, onderdeel van Oracle Fusion Middleware. Getroffen zijn de ondersteunde versies 12.2.1.4.0 en 14.1.2.0.0. De CVSS 3.1-vector (AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:N) geeft aan dat misbruik via het netwerk kan, zonder authenticatie en zonder gebruikersinteractie, maar dat de aanvalscomplexiteit hoog is. Door de scopewijziging kunnen ook andere producten dan Oracle HTTP Server geraakt worden. De impact is hoog op vertrouwelijkheid en integriteit: gegevens die via Oracle HTTP Server toegankelijk zijn, kunnen worden gelezen, aangemaakt, gewijzigd of verwijderd. Beschikbaarheid wordt niet geraakt. Een CWE-classificatie is niet gegeven.

CVSS-vector (versie 3.1, basisscore 8,7, bron: NVD)

CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:N
Aanvalsroute
Via het netwerk of internet
EPSS, kans op misbruik binnen 30 dagen
0,3%
Aanvalscode openbaar
Nee

Advies van de overheid

Bronnen

Gerelateerde lekken