Defused Cyber meldde op 27 oktober 2026 dat zijn Oracle E-Business Suite-honeypots verkennende pogingen tegen CVE-2026-101767 registreerden. Oracle publiceerde de oktoberupdate op 20 oktober; Horizon3.ai zegt dat deze update de kwetsbaarheid verhelpt.

Welke Oracle EBS-versies zijn getroffen?

Horizon3.ai noemt Oracle E-Business Suite-versies 12.2.3 tot en met 12.2.15 als getroffen. Oracle vermeldt dezelfde versiereeks in zijn oktoberupdate voor beveiligingsproblemen. De kwetsbaarheid zit volgens Horizon3.ai in Oracle Application Object Library, Core, en heeft CVE-nummer CVE-2026-101767.

De kwetsbare Thin Client Framework-servlet staat op /OA_HTML/AppsTCFServer en wordt geïmplementeerd door oracle.apps.fnd.tcf.SocketServer. Horizon3.ai meldt dat deze servlet in de standaardconfiguratie van de EBS-URL-firewall is toegestaan. De organisatie beoordeelt de kwetsbaarheid als CVSS 3.1 9,8 (Critical). CVSS is een systeem om de ernst van beveiligingsproblemen te scoren.

Welke toegang en gevolgen beschrijft Horizon3.ai?

Voor misbruik is netwerktoegang tot de servlet via HTTP of HTTPS nodig. Inloggen en gebruikersinteractie zijn volgens Horizon3.ai’s technische advies niet vereist. Een SQL-injectie is een fout waardoor een aanvaller ongewenste SQL-opdrachten kan laten uitvoeren.

De beschreven aanvalsketen kan SQL-opdrachten uitvoeren als databasegebruiker APPS en daarna besturingssysteemcommando’s als het EBS-applicatieaccount. Welke gegevens bereikbaar zijn, hangt af van de implementatie en de toegangsrechten van APPS. Horizon3.ai noemt financiële gegevens, salarisadministratie, HR- en inkoopgegevens als mogelijke voorbeelden. Rechtstreeks via internet bereikbare EBS-webtiers lopen direct risico; ook interne systemen kunnen bereikbaar zijn als een aanvaller toegang heeft vanaf een gecompromitteerd systeem of ander toegankelijk netwerksegment.

Wat moeten EBS-beheerders doen?

Horizon3.ai wijst de oktoberupdate van Oracle aan als oplossing voor CVE-2026-101767. Oracle verstrekt Critical Patch Update-patches voor productversies die onder Premier Support of Extended Support vallen. Oracle waarschuwt dat eerdere releases mogelijk ook kwetsbaar zijn en adviseert klanten om naar ondersteunde versies te upgraden.

Tot de toepasselijke patch is geïnstalleerd, adviseert Horizon3.ai drie tijdelijke maatregelen:

  • Verwijder /OA_HTML/AppsTCFServer uit de allowlist van de EBS-URL-firewall.
  • Beperk de toegang tot de EBS-webtier tot vertrouwde netwerken.
  • Houd de EBS-applicatiehost en database in de gaten.

Deze maatregelen beperken de blootstelling, maar vervangen de patch niet. Oracle waarschuwt dat tijdelijke aanpassingen de werking van applicaties kunnen verstoren en raadt aan ze eerst buiten productie te testen.

Welke signalen kunnen verdedigers monitoren?

Horizon3.ai noemt de volgende detectiesignalen voor CVE-2026-101767:

  • Niet-geauthenticeerde POST-verzoeken naar /OA_HTML/AppsTCFServer die oracle.apps.jtf.gantt.server.GanttDataServer aanroepen, gevolgd door databaseactiviteit.
  • SQL-verkenning kort na niet-geauthenticeerde webverzoeken.
  • Onverwachte bestanden in $APPLPTMP.
  • Het oracle-account dat via Concurrent Manager /bin/sh start om besturingssysteemcommando’s uit te voeren.