Defused meldde op 27 oktober 2026 verkennende pogingen tegen CVE-2026-101767 op zijn Oracle E-Business Suite-decoys, loksystemen die aanvallen registreren. Oracle had de kwetsbaarheid op 20 oktober al opgenomen in zijn Critical Patch Update voor oktober. De waarneming gaat over Defused’ decoys; Tuskira omschreef de exploitatiestatus op 29 oktober als gemeld maar onbevestigd.
Wat Defused op zijn loksystemen registreerde
Defused meldde dat zijn Oracle E-Business Suite-decoys verkennende pogingen tegen CVE-2026-101767 registreerden. Het bericht beschrijft die activiteit op loksystemen. Het is een melding van Defused, geen verslag van een aanval op een productieomgeving.
Welke EBS-versies Oracle noemt
Oracle noemt Oracle Application Object Library Core in Oracle E-Business Suite-versies 12.2.3 tot en met 12.2.15 als getroffen. De kwetsbaarheid kan volgens Oracle via HTTP worden aangevallen door iemand zonder account of andere toegangsrechten. Oracle kent CVE-2026-101767 een CVSS 3.1-score van 9,8 toe. Oracle vermeldt de getroffen component, versies en score in zijn risicomatrix.
Horizon3.ai beschrijft de fout als SQL-injectie in de servlet /OA_HTML/AppsTCFServer. SQL-injectie betekent dat een aanvaller via een invoerveld ongewenste databaseopdrachten kan uitvoeren. Volgens Horizon3.ai kan die route worden gebruikt om SQL uit te voeren als de APPS-databasegebruiker en vervolgens te worden gekoppeld aan het uitvoeren van besturingssysteemcommando’s onder het EBS-applicatieaccount. Horizon3.ai beschrijft ook de servlet en de technische aanvalsketen.
Voor een eerste blootstellingscheck zijn dus drie punten relevant: draait de omgeving EBS 12.2.3–12.2.15, is de oktoberupdate toegepast en kan een niet-vertrouwd netwerk de servlet bereiken? Tuskira wijst erop dat bereikbaarheid via een intern netwerk ook meetelt.
Controleer eerst de EBS-versie en de bereikbaarheid van de servlet; de tijdelijke netwerkmaatregelen vervangen de Oracle-update niet.
Oracle bracht de patch op 20 oktober uit
Oracle’s Critical Patch Update van 20 oktober 2026 behandelt CVE-2026-101767. Oracle’s update bevat de patchinformatie voor oktober.
Horizon3.ai adviseert beheerders om de toepasselijke Oracle-patch toe te passen. Tot die tijd beveelt het aan /OA_HTML/AppsTCFServer uit de URL-firewall-allowlist te verwijderen, toegang tot de EBS-weblaag te beperken tot vertrouwde netwerken en activiteiten op de applicatiehost en database te monitoren. Die maatregelen beperken de blootstelling, maar vervangen de patch niet.
Tuskira meldde dat CVE-2026-101767 op 27 oktober 2026 niet in CISA’s Known Exploited Vulnerabilities-catalogus stond. In zijn update van 29 oktober omschreef Tuskira exploitatie als gemeld maar onbevestigd.
