Angreifer testen kritische Oracle-EBS-Schwachstelle Tage nach Veröffentlichung des Patches

Bedrohungsakteure haben begonnen, eine neu gepatchte kritische Schwachstelle in Oracle E-Business Suite (EBS) zu testen, nur wenige Tage nachdem Oracle den Fix veröffentlicht hatte. Die als CVE-2026-101767 identifizierte Schwachstelle hat einen CVSS-Score von 9,8 und ermöglicht nicht authentifizierten Remote Code Execution. Das Sicherheitsunternehmen Defused Cyber meldete am 27. Oktober 2026 aktive Exploitierungsversuche und unterstrich damit die schnelle Reaktion der Angreifer auf Patches für Unternehmenssoftware.

Was passiert ist

Oracle hat diese Sicherheitslücke im Rahmen seines Critical Patch Update behoben, das letzte Woche veröffentlicht wurde. Der Fehler befindet sich in der Oracle Application Object Library und betrifft speziell unsachgemäße Authentifizierungsmechanismen. Die Forscher Brandon Peterson, Jimi Sebree und Noah King von Horizon3.ai entdeckten das Problem und meldeten es Oracle am 24. Juli 2026. Trotz Verfügbarkeit des Patches deuten Threat-Intelligence-Daten darauf hin, dass böswillige Akteure bereits nach verwundbaren Systemen suchen.

Defused Cyber stellte fest, dass ihre Ködersysteme am Morgen des 27. Oktober explorative Exploits verzeichneten, die genau auf diese spezifische Schwachstelle abzielten. Der Angriffsvektor umfasst eine nicht authentifizierte SQL-Injection im Thin Client Framework (TCF)-Servlet. Dieser erste Einbruch kann verkettet werden, um vollständigen Remote Code Execution zu erreichen, was Angreifern erhebliche Kontrolle über den betroffenen Server verschafft. Die Geschwindigkeit, mit der diese Proben erschienen, unterstreicht den hohen Wert, den Angreifer auf die Kompromittierung von ERP-Systemen legen.

Horizon3.ai erklärte, dass die Schwachstelle einem Angreifer mit Netzwerkzugriff auf das TCF-Servlet erlaubt, SQL-Befehle als APPS-Datenbankbenutzer auszuführen. Von dort aus kann der Angreifer Privilegien eskalieren, um Betriebssystembefehle als EBS-Anwendungskonto auszuführen. Diese Ausnutzungskette umgeht Standard-Authentifizierungsprüfungen und ermöglicht es unbefugten Benutzern, direkt mit der Backend-Datenbank und dem darunterliegenden Hostsystem zu interagieren.

Wichtige Details

• Schwachstellen-ID: CVE-2026-101767 mit einem CVSS-Schweregrad-Score von 9,8.
• Angriffsvektor: Nicht authentifizierte SQL-Injection im Thin Client Framework Servlet unter /OA_HTML/AppsTCFServer.
• Auswirkung: Ermöglicht die Ausführung von SQL als APPS-Benutzer und OS-Befehlen als EBS-Anwendungskonto.
• Gefährdete Daten: Finanz-, Gehalts-, HR- und Beschaffungsdatensätze, die für den APPS-Datenbankbenutzer zugänglich sind.
• Entdeckung: Gemeldet von Horizon3.ai-Forschern am 24. Juli 2026; von Oracle Ende Oktober 2026 gepatcht.
• Aktive Exploitierung: Defused Cyber erkannte Probing-Versuche am 27. Oktober 2026.

Hintergrund

Oracle E-Business Suite ist ein umfassendes Set von Geschäftsanwendungen, das von vielen großen Organisationen zur Verwaltung von Finanzen, Personalwesen und Lieferkettenoperationen verwendet wird. Da sie sensible Unternehmensdaten verarbeitet, ist sie ein häufiges Ziel für Cyberkriminelle. Die hier betroffene spezifische Komponente, das Thin Client Framework, erleichtert die Kommunikation zwischen der Web-Oberfläche und der Backend-Datenbank. Wenn Authentifizierungskontrollen in solchen Frameworks versagen, können Angreifer bösartige SQL-Befehle injizieren, um Daten ohne gültige Anmeldedaten zu manipulieren oder zu extrahieren.

Remote Code Execution (RCE) ist eine der schwerwiegendsten Arten von Sicherheitslücken. Sie ermöglicht es einem Angreifer, beliebige Befehle auf dem Server auszuführen, der die Anwendung hostet. In diesem Fall erhält der Angreifer die Berechtigungen des EBS-Anwendungskontos. Dies entspricht zwar nicht immer vollständigem Root-Zugriff, reicht aber aus, um kritische Geschäftsdaten zu lesen oder zu ändern und potenziell zu anderen Teilen des internen Netzwerks zu pivotieren. Frühere kritische Fehler in EBS, wie CVE-2025-61882, wurden von Ransomware-Gruppen wie Cl0p ausgenutzt, was rechtzeitiges Patching unerlässlich macht.

Warum es wichtig ist

Für Teams, die selbst gehostete Unternehmenssoftware verwalten, verdeutlicht dieser Vorfall das enge Zeitfenster zwischen Patch-Veröffentlichung und aktiver Exploitierung. Angreifer reverse-engineeren oft Patches, um innerhalb von Stunden oder Tagen Exploit-Skripte zu erstellen. Wenn Ihre Organisation Oracle EBS betreibt, setzt eine Verzögerung des Updates Ihre Finanz- und HR-Daten sofortigem Risiko aus. Auch interne Instanzen sind verwundbar, wenn ein Angreifer anderswo im Netzwerk Fuß fasst, da der Exploit keinen internetseitigen Zugriff erfordert, um erfolgreich zu sein, sobald man sich innerhalb der Perimeter-Grenze befindet.

Die Art der gefährdeten Daten verstärkt die Auswirkung. Kompromittierte Gehalts- und HR-Datensätze können zu Identitätsdiebstahl, Betrug und erheblichen regulatorischen Strafen führen. Darüber hinaus ermöglicht der Zugriff auf das Betriebssystem Angreifern, persistente Backdoors oder Ransomware zu installieren. Für IT-Leiter unterstreicht dies die Notwendigkeit robuster Vulnerability-Management-Prozesse, die kritische Patches für kundenorientierte und datenintensive Anwendungen priorisieren. Das alleinige Verlassen auf Perimeter-Firewalls ist unzureichend, wenn die Schwachstelle nicht authentifisierten Zugriff auf Kerndienste ermöglicht.

Was Sie tun können

• Wenden Sie das neueste Oracle Critical Patch Update unverzüglich an, um CVE-2026-101767 zu beheben.
• Falls ein Patching nicht sofort möglich ist, entfernen Sie /OA_HTML/AppsTCFServer aus der Allowlist Ihrer URL-Firewall.
• Beschränken Sie den Zugriff auf die EBS-Web-Tier nur auf vertrauenswürdige Netzwerke und blockieren Sie externen Zugriff.
• Überwachen Sie Ihren EBS-Anwendungshost und die Datenbank auf ungewöhnliche Aktivitäten, wie z. B. unerwartete Dateien in $APPLPTMP.
• Achten Sie auf nicht authentifizierte POST-Anfragen an das TCF-Servlet und anschließende SQL-Reconnaissance-Abfragen.
• Stellen Sie sicher, dass das oracle-Konto keine /bin/sh-Prozesse über den Concurrent Manager startet, was auf eine Kompromittierung hindeutet.