Oracle EBS CVE-2026-101767: Erste Exploitversuche

Für die kritische Lücke CVE-2026-101767 in der Oracle E-Business Suite (EBS) gibt es erste Exploitversuche. Das Threat-Intelligence-Unternehmen Defused meldete am 27. Oktober 2026, dass seine EBS-Köder (Honeypots) erkundende Exploits gegen die Schwachstelle aufgezeichnet haben. Oracle hatte die unauthentifizierte SQL-Injection im Thin Client Framework, die sich bis zur Codeausführung verketten lässt, erst am 20. Oktober mit dem Critical Patch Update (CPU) Oktober 2026 geschlossen.

Betroffen sind Unternehmen, die EBS 12.2.3 bis 12.2.15 betreiben und den Oktober-Patch noch nicht eingespielt haben, besonders bei aus dem Internet erreichbarem Web-Tier. Wer bereits gepatcht hat, ist bei dieser Lücke abgesichert. Belegt sind bislang Scans und Exploitversuche auf Honeypots, erfolgreiche Angriffe auf echte Systeme meldet keine der Quellen. Trotzdem gilt: heute patchen oder den betroffenen Endpunkt sperren, nicht bis zum nächsten Wartungsfenster warten.

Was ist passiert?

In der Risikomatrix des CPU Oktober 2026 führt Oracle CVE-2026-101767 in der Komponente Core von Oracle Application Object Library mit CVSS 9.8. Die Lücke ist über HTTP ohne Anmeldung und ohne Nutzerinteraktion ausnutzbar, unterstützte betroffene Versionen sind 12.2.3 bis 12.2.15. Entdeckt haben sie Brandon Peterson, Jimi Sebree und Noah King von Horizon3.ai. Laut deren Advisory sitzt der Fehler im TCF-Servlet unter /OA_HTML/AppsTCFServer, das in der Standardkonfiguration der EBS-URL-Firewall freigegeben ist. Ein präparierter Request führt SQL mit den Rechten des Datenbanknutzers APPS aus, die Kette endet in Betriebssystembefehlen mit den Rechten des EBS-Anwendungskontos.

Defused schrieb auf X, die Köder hätten am Morgen des 27. Oktober erkundende Exploits gegen die Lücke registriert. BleepingComputer verweist zusätzlich auf Shadowserver, das über 670 aus dem Internet erreichbare EBS-Instanzen zählt, die meisten mit US-Adressen. Wie viele davon Honeypots oder bereits gepatcht sind, bleibt offen. Oracle selbst hat die Lücke bislang nicht als aktiv ausgenutzt markiert.

Wer ist betroffen?

Betroffen ist Oracle E-Business Suite 12.2.3 bis 12.2.15 ohne die Patches aus dem CPU Oktober 2026. Am stärksten exponiert sind Installationen mit öffentlich erreichbarem Web-Tier. Horizon3.ai weist darauf hin, dass auch interne Systeme angreifbar sind, wenn ein Angreifer das Servlet von einem kompromittierten Rechner oder einem anderen Netzsegment aus erreicht. Je nach Installation stehen Finanz-, Lohn-, Personal- und Einkaufsdaten im Zugriff.

Wie kritisch ist das?

Sehr kritisch. CVSS 9.8, kein Login nötig, geringe Komplexität und ein Endpunkt, der per Standard erreichbar ist. Oracle-EBS-Lücken sind bei Angreifern beliebt: Die Erpressergruppe Clop nutzte 2025 die EBS-Lücke CVE-2025-61882 als Zero-Day gegen zahlreiche Organisationen. Dass nur eine Woche zwischen Patch und ersten Exploitversuchen liegt, passt in dieses Muster. Oracle schreibt im Advisory selbst, dass Angriffe in einigen Fällen nur erfolgreich waren, weil verfügbare Patches fehlten.

Was sollten Admins jetzt tun?

• Inventar prüfen: alle EBS-Instanzen, deren Release-Stand (12.2.x) und den eingespielten CPU-Stand erfassen.
• Die EBS-Patches aus dem CPU Oktober 2026 laut Patch Availability Document einspielen.
• Falls das nicht sofort geht: /OA_HTML/AppsTCFServer aus der Allowlist der EBS-URL-Firewall entfernen und den Web-Tier auf vertrauenswürdige Netze beschränken.
• Logs auf unauthentifizierte POST-Anfragen an /OA_HTML/AppsTCFServer prüfen, besonders mit der Klasse oracle.apps.jtf.gantt.server.GanttDataServer, gefolgt von Datenbankaktivität.
• Auf SQL-Erkundung kurz nach anonymen Webanfragen, unerwartete Dateien in $APPLPTMP und vom oracle-Konto gestartete Shells achten.

Einordnung für Unternehmen

EBS gehört zu den Systemen, die in vielen Unternehmen nur in großen Abständen gepatcht werden, weil Tests aufwendig sind. Bei dieser Lücke ist das riskant, denn sie ist ohne Zugangsdaten ausnutzbar und betrifft Geschäftsdaten direkt. Der CPU Oktober bringt allein für EBS 194 neue Sicherheitspatches, 31 davon für Lücken ohne Authentifizierung. Wer das Oktober-Update nicht kurzfristig einspielen kann, sollte zumindest den Endpunkt sperren. Zum Vergleich: Im Juni wurde bereits die EBS-Lücke CVE-2026-46817 in Oracle Payments angegriffen. Einen Überblick über die Größenordnung früherer Patchrunden gibt unser Artikel zum Oracle CPU Juli 2026.

Passende Anleitungen auf S-EDV

• Schwachstellenmanagement mit Greenbone OpenVAS für KMU
• Linux-Patch-Management mit PatchMon

Quellen

• Oracle: Critical Patch Update Advisory October 2026 (20.10.2026)
• Horizon3.ai: CVE-2026-101767 Oracle E-Business Suite TCF SQL Injection and RCE
• BleepingComputer: Hackers now scanning systems for recently-patched Oracle flaw (28.10.2026)
• SecurityWeek: Hackers Start Probing Fresh Oracle EBS Vulnerability (28.10.2026)