Hacker untersuchen eine kritische Oracle-EBS-Schwachstelle eine Woche nach dem Patch: Versionen gefährdet

Angreifer untersuchen bereits eine kritische Schwachstelle in der Oracle E-Business Suite (EBS) – nur eine Woche, nachdem Oracle einen Sicherheitspatch veröffentlicht hat.

Das Threat-Intelligence-Unternehmen Defused Cyber entdeckte am 27. Oktober 2026 erste versuchsweise Exploitationsversuche gegen CVE-2026-101767. Die mit 9,8 auf der CVSS-Skala bewertete Schwachstelle betrifft die EBS-Versionen 12.2.3 bis 12.2.15 und könnte nicht authentifizierten Angreifern die Remote-Ausführung von Befehlen ermöglichen.

Die Schwachstelle bedroht Unternehmenssysteme, die Finanz-, Beschaffungs- und Betriebsdaten verarbeiten. Obwohl Forscher Exploitationsversuche beobachtet haben, wurde bislang öffentlich keine erfolgreiche Kompromittierung eines Produktivsystems bestätigt, die speziell CVE-2026-101767 betrifft.

Wie die Oracle-EBS-Schwachstelle die Remote-Ausführung von Code ermöglicht

Defused Cyber hat die Versuche laut dem Bericht von SecurityWeek vom 28. Oktober in seinen EBS-Ködersystemen aufgezeichnet. Die Aktivität folgte auf Oracles Critical Patch Update vom 20. Oktober.

Die Schwachstelle betrifft die Core-Komponente der Oracle Application Object Library. Forscher von Horizon3.ai, die Oracle die Schwachstelle am 24. Juli meldeten, identifizierten eine nicht authentifizierte SQL-Injection im Thin Client Framework (TCF)-Servlet.

Angreifer mit Netzwerkzugriff auf das Servlet können SQL-Anweisungen mit den Berechtigungen des EBS-Datenbankkontos APPS ausführen. Die Forscher demonstrierten, dass sich die Schwachstelle ausnutzen lässt, um Betriebssystembefehle mit den Berechtigungen des EBS-Anwendungskontos auszuführen.

Ein separater im August dokumentierter Oracle-SQL-Injection-Angriff zeigte, wie der Missbrauch von Datenbankfunktionen zur Remote-Code-Ausführung (RCE) führen kann.

Der betroffene EBS-Endpunkt/OA_HTML/AppsTCFServer ist in der standardmäßigen URL-Firewall-Konfiguration zugelassen. Eine Ausnutzung könnte vertrauliche Datensätze offenlegen, unbefugte Datenänderungen ermöglichen oder den Unternehmensbetrieb stören.

BleepingComputer berichtete , dass die Shadowserver Foundation mehr als 670 aus dem Internet erreichbare EBS-Instanzen identifiziert hat, die größtenteils mit US-IP-Adressen verbunden sind. Die Zahl lässt nicht darauf schließen, wie viele davon ungepatcht oder gefährdet sind.

Betroffene Oracle-EBS-Versionen und Maßnahmen zur Risikominderung

Oracles Sicherheitsberatung für Oktober 2026 nennt die Versionen 12.2.3 bis 12.2.15 als betroffen. Für eine Ausnutzung sind weder Authentifizierung noch Benutzerinteraktion erforderlich, und die Angriffskomplexität ist gering.

Administratoren sollten für Anweisungen zum Einspielen des Patches den My Oracle Support-Hinweis KA923 konsultieren. Oracles Sicherheitsrelease vom August behob 943 Schwachstellen in seinen Produkten und unterstreicht damit die Anforderungen an das Patchen, vor denen Unternehmensadministratoren stehen.

Sicherheitsteams sollten sechs Maßnahmen priorisieren:

• Sicherheitspatches anwenden und überprüfen. Installieren Sie die relevanten Oktober-Updates und bestätigen Sie die Behebung in allen betroffenen Umgebungen.
• Gefährdete Endpunkte beschränken. Entfernen Sie /OA_HTML/AppsTCFServer aus der URL-Firewall-Allowlist, bis der Patch eingespielt ist. Beschränken Sie den Zugriff auf die Web-Schicht auf vertrauenswürdige Netzwerke.
• Segmentierung und Zugriffskontrollen verstärken. Isolieren Sie kritische EBS-Komponenten und überprüfen Sie unnötige Berechtigungen von Dienstkonten, ohne erforderliche Funktionen zu beeinträchtigen.
• Auf Exploitationsversuche überwachen. Untersuchen Sie verdächtige Servlet-Anfragen, unerwartete Datenbankaktivitäten, nicht autorisierte Dateien und ungewöhnliche Befehlsausführungen.
• Unterstützende Systeme und die Wiederherstellungsbereitschaft bewerten. Überprüfen Sie relevante Patches für Oracle Database und Fusion Middleware, schützen Sie Backups und testen Sie die Wiederherstellungsverfahren.
• Pläne für die Reaktion auf Sicherheitsvorfälle testen. Validieren Sie die Verfahren zur Untersuchung von Exploitationsversuchen, zur Isolierung von Hosts, zur Beweissicherung und zur Wiederherstellung von Diensten.

Netzwerkbeschränkungen können das Patchen nicht ersetzen. Eine separate PeopleSoft-Kampagne mit einer Firewall-Umgehung zeigte, wie Angreifer Filterregeln zum Schutz ungepatchter Systeme umgehen konnten.

Da die Untersuchungen bereits laufen, sollten Unternehmen die Bereitstellung der EBS-Patches überprüfen und verdächtige Aktivitäten gegen betroffene Installationen untersuchen.

Lesen Sie auch: Organisationen, die ihre Gefährdung durch Unternehmensschwachstellen prüfen, sollten Splunks Sicherheitsupdates vom Oktober, die zusätzliche kritische Schwachstellen und Risiken durch Remote-Code-Ausführung beheben.