Defused Cyber meldete am 27. Oktober 2026 explorative Zugriffsversuche im Zusammenhang mit CVE-2026-101767 gegen seine Ködersysteme für Oracle E-Business Suite (EBS). Oracle hatte sein Oktober-Critical-Patch-Update (CPU) am 20. Oktober veröffentlicht; Horizon3.ai zufolge behebt es die Schwachstelle.

Welche Oracle-EBS-Versionen sind betroffen?

Horizon3.ai stuft EBS 12.2.3 bis 12.2.15 einschließlich als betroffen ein. Die Schwachstelle liegt demnach in der Komponente Oracle Application Object Library, Core, und betrifft das Thin Client Framework (TCF)-Servlet /OA_HTML/AppsTCFServer.

Für einen Angriff ist Netzwerkzugriff auf das Servlet über HTTP oder HTTPS nötig. Anmeldedaten und eine Interaktion durch Nutzer sind laut Horizon3.ai nicht erforderlich. Das Servlet ist in der Standardkonfiguration der EBS-URL-Firewall zugelassen. Horizon3.ai bewertet die Schwachstelle mit CVSS 3.1: 9,8, kritisch.

Welche Folgen kann ein Angriff haben?

Horizon3.ai beschreibt eine SQL-Injection, über die ein Angreifer Datenbankbefehle als APPS-Datenbanknutzer ausführen und anschließend Betriebssystembefehle mit dem EBS-Anwendungskonto ausführen könnte. Welche Daten und Systemressourcen erreichbar wären, hängt von der Bereitstellung und den Berechtigungen dieses Kontos ab. Als mögliche Daten nennt Horizon3.ai Finanz-, Gehalts-, Personal- und Beschaffungsinformationen.

Direkt erreichbar sind Web-Tier-Systeme, die dem Internet ausgesetzt sind. Auch interne Installationen können gefährdet sein, wenn ein Angreifer von einem kompromittierten Rechner oder einem zugänglichen Netzwerksegment aus das Servlet erreichen kann.

Was sollten EBS-Administratoren tun?

Horizon3.ai empfiehlt, den anwendbaren Oktober-CPU-Patch einzuspielen. Oracle stellt CPU-Patches für Produktversionen unter Premier Support oder Extended Support bereit. Oracle zufolge können auch frühere Versionen betroffen sein; das Unternehmen empfiehlt, auf unterstützte Versionen zu aktualisieren. Die Oracle-Sicherheitsmitteilung zum Oktober-CPU nennt die EBS-Versionen 12.2.3 bis 12.2.15 im Produktumfang.

Bis der Patch installiert ist, rät Horizon3.ai dazu, /OA_HTML/AppsTCFServer aus der Zulassungsliste der EBS-URL-Firewall zu entfernen, den Zugriff auf das EBS-Web-Tier auf vertrauenswürdige Netze zu beschränken und Anwendungsserver sowie Datenbank zu überwachen. Diese Maßnahmen verringern die Erreichbarkeit, ersetzen aber nicht den Patch. Oracle warnt, dass vorübergehende Umgehungslösungen Anwendungsfunktionen beeinträchtigen können, und empfiehlt, sie außerhalb der Produktionsumgebung zu testen.

Welche Aktivitäten sollten Verteidiger überwachen?

Horizon3.ai nennt folgende Hinweise für die Überwachung betroffener Systeme:

  • Nicht authentifizierte POST-Anfragen an /OA_HTML/AppsTCFServer, bei denen oracle.apps.jtf.gantt.server.GanttDataServer instanziiert wird und auf die Datenbankaktivität folgt.
  • SQL-Aufklärung kurz nach nicht authentifizierten Webanfragen.
  • Unerwartete Dateien in $APPLPTMP.
  • Prozesse, bei denen das Konto oracle über den Concurrent Manager /bin/sh startet, um Betriebssystembefehle auszuführen.

Die technischen Details und Empfehlungen stehen in der CVE-2026-101767-Analyse von Horizon3.ai.