Oracle-Lücke CVE-2024-21182: CISA setzt Bundesbehörden Frist bis 4. Juni

Die US-Behörde CISA stuft eine seit 2024 bekannte Oracle-Lücke als aktiv ausgenutzt ein. Tausende Server sind noch ungepatcht.

Die US-Cybersicherheitsbehörde CISA hat eine kritische Sicherheitslücke in Oracle WebLogic Server in ihren Katalog bekannter ausgenutzter Schwachstellen aufgenommen. Der Fehler mit der Kennung CVE-2024-21182 wird bereits aktiv von Angreifern genutzt – und das, obwohl ein Patch seit fast zwei Jahren verfügbar ist.

Bekannte Schwachstelle, ungeschützte Systeme

Die Sicherheitslücke betrifft die Oracle WebLogic Server Versionen 12.2.1.4.0 und 14.1.1.0.0. Mit einem CVSS-Score von 7,5 gilt sie als hochriskant. Besonders brisant: Angreifer können über die Protokolle T3 oder IIOP auf sensible Daten zugreifen – ohne sich vorher authentifizieren zu müssen.

Anzeige: Die CISA setzt US-Behörden eine Frist bis zum 4. Juni – doch über 1.592 Oracle WebLogic Server sind noch ungepatcht. Angreifer nutzen die Lücke CVE-2024-21182 bereits aktiv. Unser Report zeigt, wie Sie in 3 Schritten Ihre Systeme sichern und Bußgelder vermeiden. Jetzt kostenlosen Sicherheits-Report anfordern

Obwohl Oracle bereits im Juli 2024 einen Patch veröffentlichte, sind weltweit noch über 1.592 Server ungeschützt im Internet erreichbar. Das zeigt eine Analyse der Suchmaschine Shodan. Die CISA setzt US-Bundesbehörden nun eine Frist bis zum 4. Juni 2026, um die Sicherheitsupdates einzuspielen. Grundlage ist die verbindliche Direktive BOD 22-01.

Noch gefährlicher: Maximale Bedrohungsstufe

Parallel zu dieser Warnung mehren sich die Berichte über eine noch kritischere Schwachstelle im Oracle-Ökosystem. Die als CVE-2026-21962 bekannte Lücke ermöglicht die Ausführung von Schadcode aus der Ferne – und erreicht mit einem CVSS-Score von 10,0 die höchste Bedrohungsstufe überhaupt.

Betroffen sind der Oracle HTTP Server und das WebLogic Proxy Plug-in in den Versionen 12.2.1.4.0, 14.1.1.0.0 und 14.1.2.0.0. Erste Angriffsversuche wurden bereits am 22. Januar 2026 registriert. Seither zählen Sicherheitsexperten über 140.000 Angriffsversuche – obwohl ein Patch seit Januar 2026 verfügbar ist.

Anzeige: Nicht nur CVE-2024-21182 ist kritisch – auch die Lücke CVE-2026-21962 mit CVSS 10,0 wird bereits angegriffen. Über 140.000 Angriffsversuche wurden registriert. Unser Notfallplan hilft Ihnen, beide Schwachstellen zu identifizieren und zu schließen. Notfallplan für Oracle-Lücken jetzt sichern

Das grundlegende Problem: Zu späte Updates

Die aktuellen Entwicklungen zeigen ein strukturelles Problem in der Unternehmens-IT: Die Zeitspanne zwischen Patch-Veröffentlichung und tatsächlicher Installation bleibt viel zu lang. Branchenanalysen zufolge landen nur rund 41 Prozent der Schwachstellen, die später im KEV-Katalog auftauchen, im selben Jahr ihrer Entdeckung dort.

Dass eine Lücke aus Juli 2024 erst jetzt im Juni 2026 in den Katalog aufgenommen wird, zeigt: Angreifer durchkämmen systematisch ältere Schwachstellen auf der Suche nach ungepatchten Systemen. Die Kombination aus nicht erforderlicher Authentifizierung und weit verbreiteten Management-Protokollen wie T3 und IIOP macht Oracle WebLogic Server zu einem bevorzugten Ziel für Angreifer, die in Unternehmensnetzwerke eindringen wollen.