Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Son 7 gün
  • CWE-287
  • CWE-306

CVE-2026-83399

Oracle WebLogic Server kimlik doğrulama atlatma açığı (T3/IIOP üzerinden)

Oracle Corporation Oracle WebLogic Server

Kritik 9,8 CVSS 3.1
Yayımlandı
Güncellendi
21 Eki 2026
Açık yaşı
7 gün
Kaydı açan
oracle

Yönetici özeti

Bu açık, internete veya iç ağa açık WebLogic sunucularını kimlik doğrulaması olmadan ele geçirilebilir hale getiriyor ve iş açısından çok yüksek risk taşıyor. Etkilenen sunucular hemen güncellenmeli veya korunmalıdır; gecikme, veri sızıntısı ve hizmet kesintisi riskini artırır.

ÖzetTürkçe

Oracle WebLogic Server ürününün Core bileşenindeki bu açık, 12.2.1.4.0, 14.1.1.0.0, 14.1.2.0.0 ve 15.1.1.0.0 sürümlerini etkiliyor. Saldırgan kimlik doğrulaması yapmadan, ağ erişimi üzerinden T3 ve IIOP protokolleriyle sunucuya istek göndererek açığı kullanabiliyor. Açık kolay istismar edilebilir olarak sınıflandırılmış ve CVSS 3.1 skoru 9.8 (kritik) olarak belirlenmiş.

Saldırgan ne yapabilir?

Başarılı bir saldırı, saldırganın Oracle WebLogic Server üzerinde tam kontrol ele geçirmesine ve sunucunun gizliliği, bütünlüğü ve erişilebilirliği üzerinde tam etkiye sahip olmasına yol açabilir.

Kaynaktaki açıklama (İngilizce)

Vulnerability in the Oracle WebLogic Server product of Oracle Fusion Middleware (component: Core). Supported versions that are affected are 12.2.1.4.0, 14.1.1.0.0, 14.1.2.0.0 and 15.1.1.0.0. Easily exploitable vulnerability allows unauthenticated attacker with network access via T3, IIOP to compromise Oracle WebLogic Server. Successful attacks of this vulnerability can result in takeover of Oracle WebLogic Server. CVSS 3.1 Base Score 9.8 (Confidentiality, Integrity and Availability impacts). CVSS Vector: (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H).

Ne yapmalı?

  1. Oracle'ın yayımladığı güvenlik bülteninde belirtilen, etkilenen sürümlere yönelik düzeltme yamasını veya güncellemeyi hemen uygulayın. Genel öneri
  2. Güncelleme uygulanamıyorsa, T3 ve IIOP protokollerine ağ düzeyinde erişimi güvenlik duvarında kısıtlayın; yalnızca gerekli kaynak adreslerine izin verin. Genel öneri
  3. Güncelleme sonrasında sürüm bilgisini doğrulayın ve sunucunun beklenen düzeltilmiş sürümde çalıştığını teyit edin. Genel öneri

Ek önlemler

  • WebLogic yönetim arayüzlerini ve T3/IIOP uç noktalarını doğrudan internete açık bırakmayın; bunları VPN veya yönetim ağı arkasına alın. Genel öneri
  • Sunucu günlüklerini yetkisiz T3 ve IIOP bağlantı denemeleri ve olağandışı süreç başlatma davranışları açısından izleyin. Genel öneri
  • Sunucuda gereksiz servisleri ve kullanılmayan protokol uç noktalarını kapatın. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
Oracle Corporation Oracle WebLogic Server 12.2.1.4.0 –
14.1.1.0.0 –
14.1.2.0.0 –
15.1.1.0.0 –

Kaynaklar3 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.