Defused meldete am 27. Oktober 2026 Sondierungsversuche gegen eigene Ködersysteme mit Oracle E-Business Suite. Oracle führt Oracle Application Object Library Core in EBS 12.2.3 bis 12.2.15 als betroffen; die Schwachstelle erhielt den CVSS-Wert 9,8. Die Meldung von Defused betrifft beobachtete Zugriffe auf Honeypots, also Ködersysteme zur Erfassung von Angriffsversuchen.
Was Defused über die EBS-Ködersysteme meldete
Defused berichtete am 27. Oktober von explorativen Versuchen gegen seine EBS-Decoys. Tuskira stufte den Ausnutzungsstatus in einem am 29. Oktober aktualisierten Hinweis als gemeldet, aber unbestätigt ein.
Welche EBS-Versionen Oracle aufführt
Oracles Risikomatrix für das Oktober-Update nennt Oracle Application Object Library Core in EBS 12.2.3 bis 12.2.15 als betroffen. Oracle bewertet CVE-2026-101767 mit CVSS 3.1 und einem Basiswert von 9,8. Laut Matrix kann ein Angreifer über das Netzwerk und HTTP ohne Anmeldung zugreifen; besondere Rechte und eine Interaktion durch Nutzer sind nicht erforderlich. Ein erfolgreicher Angriff kann die Übernahme von Oracle Application Object Library ermöglichen. Oracles Risikomatrix
Der beschriebene Angriffspfad führt über einen EBS-Servlet
Horizon3.ai beschreibt eine nicht authentifizierte SQL-Injection im Thin Client Framework von EBS. Betroffen sei der Servlet-Endpunkt /OA_HTML/AppsTCFServer, umgesetzt durch oracle.apps.fnd.tcf.SocketServer. Nach der technischen Beschreibung kann ein Angriff SQL-Befehle als Datenbanknutzer APPS ausführen und über eine weitere Stufe Betriebssystembefehle unter dem EBS-Anwendungskonto starten. Horizon3.ai zufolge lässt die standardmäßige URL-Firewall-Konfiguration den Endpunkt zu. Horizon3.ai erläutert die technische Schwachstelle
Oracle hat den Fehler im Oktober-Update adressiert
Oracle veröffentlichte sein Critical Patch Update für Oktober 2026 am 20. Oktober; es adressiert CVE-2026-101767. Oracles Oktober-Update
Horizon3.ai empfiehlt, den passenden Oracle-Patch einzuspielen. Bis dahin rät das Unternehmen, /OA_HTML/AppsTCFServer aus der URL-Firewall-Freigabeliste zu entfernen, den Zugriff auf die EBS-Webebene auf vertrauenswürdige Netzwerke zu beschränken sowie Anwendungsserver und Datenbank zu überwachen.
Bis der Patch installiert ist, können Betreiber den Zugang zum EBS-Web-Tier begrenzen, den Servlet aus der URL-Firewall-Freigabe nehmen und Aktivitäten auf Server und Datenbank überwachen. Diese Maßnahmen ersetzen das Update nicht.
