Ing. Calogero Bono
Oracle hat am 20. Oktober 2026 sein Critical Patch Update mit 1295 neuen Sicherheitspatches veröffentlicht. Wenige Tage später, am 27. Oktober, meldete das Threat-Intelligence-Unternehmen Defused Cyber explorative Ausnutzungsversuche gegen eine Lücke in Oracle E-Business Suite, die CVE-2026-101767 mit einem CVSS-Wert von 9.8. Das betrifft jeden, der das ERP-System von Oracle im Unternehmen betreibt, denn die Daten können Buchhaltung, Gehälter und Einkauf umfassen. Wer den Patch noch nicht eingespielt hat, steckt im heikelsten Zeitfenster.
Ein paar Begriffe vorab, bevor wir zu den Fakten kommen. CVE ist der Code, der eine Schwachstelle eindeutig identifiziert. CVSS ist die Skala von 0 bis 10, die ihre Schwere misst. RCE steht für Remote Code Execution, also das Ausführen von Befehlen auf einem fremden Server aus der Ferne. SQL-Injection bedeutet, dass in einer Webanfrage Datenbankbefehle eingeschleust werden. EBS ist Oracle E-Business Suite, die Unternehmenssoftware für die Verwaltung.
Was Oracle im Oktober veröffentlicht hat
Laut der offiziellen Warnung von Oracle enthält das Critical Patch Update 1295 neue Patches für verschiedene Produktfamilien. Für die Datenbankprodukte allein nennt es 14 neue, dazu kommen die Patches für Software von Drittanbietern. Darunter sind 4 Schwachstellen, die aus der Ferne und ohne Authentifizierung ausgenutzt werden können. In der Tabelle findet sich zum Beispiel eine OpenSSL-Lücke in der Datenbank mit dem Wert 9.8.
Oracle weist darauf hin, dass Patches nur für Versionen mit Premier Support oder Extended Support bereitgestellt werden. Versionen ohne Support werden nicht einmal mehr getestet. Das Unternehmen schreibt außerdem, dass es regelmäßig Meldungen über Angriffe auf Schwachstellen erhält, die bereits behoben sind. In einigen Fällen gelang das den Angreifern, weil Kunden die Patches nicht eingespielt hatten.
Wie funktioniert die Lücke CVE-2026-101767?
Es handelt sich um ein Authentifizierungsproblem in der Application Object Library von EBS. Laut The Hacker News haben die Forscher Brandon Peterson, Jimi Sebree und Noah King von Horizon3.ai die Lücke am 24. Juli 2026 an Oracle gemeldet.
Die Angriffskette
Horizon3.ai beschreibt sie als eine nicht authentifizierte SQL-Injection im Servlet Thin Client Framework, die bis zur Remote Code Execution verkettet werden kann. Eine gezielt aufgebaute Anfrage an den Pfad /OA_HTML/AppsTCFServer erlaubt es, SQL mit den Rechten des Datenbankbenutzers APPS auszuführen. Von dort gelangt man zu Befehlen des Betriebssystems mit den Rechten des Anwendungskontos von EBS.
Welche Daten gefährdet sind
Horizon3.ai warnt, dass je nach Installation Finanzbuchungen, Gehälter, Personaldaten und Einkaufsdaten betroffen sein können. Systeme, die direkt im Internet erreichbar sind, sind am stärksten gefährdet. Auch interne Systeme können getroffen werden, wenn der Angreifer das Servlet von einem kompromittierten System oder aus einem anderen Netzsegment erreicht.
Wer sucht nach verwundbaren Systemen?
Defused Cyber erklärte, dass seine Köder-Systeme am 27. Oktober explorative Exploits gegen die CVE-2026-101767 registriert haben. BleepingComputer stellt klar, dass Oracle die Lücke noch nicht als aktiv ausgenutzt markiert hat. Shadowserver zählt mehr als 670 offen erreichbare EBS-Instanzen, vor allem mit US-Adressen, sagt aber nicht, wie viele davon Köder sind oder bereits geschützt wurden.
Der Kontext ist wichtig. Die Quellen erinnern daran, dass CVE-2025-61882 von der Erpressergruppe Clop genutzt wurde und dass eine weitere Lücke in PeopleSoft von ShinyHunters ausgenutzt wurde. Laut BleepingComputer hat die CISA seit November 2021 46 Oracle-Schwachstellen als aktiv ausgenutzt eingestuft, 13 davon auch in Ransomware-Angriffen.
Was tun, wenn du nicht sofort aktualisieren kannst
Updates bleiben die erste Antwort. Wenn das nicht möglich ist, nennt The Hacker News diese Maßnahmen.
- Entferne /OA_HTML/AppsTCFServer aus der Allowlist der URL-Firewall von EBS.
- Beschränke den Zugriff auf die Web-Schicht von EBS auf vertrauenswürdige Netze.
- Überwache Anwendungsserver und Datenbank auf Anzeichen einer Kompromittierung.
Horizon3.ai nennt außerdem Indicators of Compromise. Dazu gehören nicht authentifizierte POST-Anfragen an /OA_HTML/AppsTCFServer, anschließende SQL-Aufklärung, unerwartete Dateien in $APPLPTMP und das Konto oracle, das über den Concurrent Manager /bin/sh startet. Oracle warnt, dass das Blockieren von Protokollen oder das Entziehen von Rechten Anwendungsfunktionen stören kann, deshalb sollte man das zuerst auf Nicht-Produktivsystemen testen.
Grenzen, die du kennen solltest
Oracle hat keine Bestätigung für eine aktive Ausnutzung veröffentlicht. Defused spricht von explorativen Versuchen auf Köder-Systemen, nicht von erfolgreichen Einbrüchen. Wie viele offene Instanzen tatsächlich noch verwundbar sind, wissen wir nicht, weil Shadowserver das nicht unterscheidet. Die uns vorliegende Tabelle von Oracle ist außerdem abgeschnitten, deshalb können wir nicht alle Schwachstellen des Zyklus nennen. Die Lage kann sich schnell ändern, auch wenn öffentlicher Exploit-Code auftaucht.
Was sich für alle ändert, die digital arbeiten
Wenn dein Unternehmen oder das eines Kunden EBS nutzt, ist der Patch nicht mehr etwas, das man einplanen kann, sondern etwas, das sofort erledigt werden muss. Zwischen der Korrektur und den ersten Scans lag nur etwa eine Woche. Prüfe, ob das Servlet aus dem Internet erreichbar ist und wer aus dem internen Netz darauf zugreifen kann.
Wer Integrationen für EBS entwickelt, sollte das Inventar der Instanzen und Versionen neu aufbauen. Wer Server für andere betreibt, muss wissen, welche Systeme nicht mehr unterstützt werden, denn für diese kommen keine Patches mehr. Organisatorisch kann ein Hosting mit verwalteten Sicherheitsupdates einen Teil dieses Wettlaufs von den Schultern des Unternehmens nehmen. Das Thema automatisierter Lückensuche haben wir bereits im Zusammenhang mit dem autonomen KI-Hacker und den italienischen KMU behandelt.
Unsere Meinung
Die Nachricht ist nicht die Lücke an sich, sondern die Geschwindigkeit. Eine Woche vom Patch bis zu den ersten Sonden heißt, dass der Quartalskalender vieler Unternehmen für exponierte Software zu langsam ist. Oracle hat recht, wenn es darauf drängt, Patches ohne Verzögerung einzuspielen, aber eine Warnung mit 1295 Korrekturen ist für ein kleines Unternehmen mit nur einem Systemadministrator schwer zu verdauen.
Wir kritisieren einen Punkt. Zentrale Unternehmenssysteme, voll mit Gehalts- und Lieferantendaten, bleiben oft aus zu weiten Netzen erreichbar, weil niemand sie anfassen will. Die exponierte Angriffsfläche zu verkleinern kostet weniger als jeder Zwischenfall. Wer kein internes Team hat, sollte die Sicherheit der Software im Unternehmen als laufenden Prozess betrachten und nicht als einmalige Aufgabe.
Häufige Fragen
Wird die CVE-2026-101767 bereits aktiv ausgenutzt?
Eine offizielle Bestätigung gibt es nicht. Oracle hat die Lücke noch nicht als ausgenutzt markiert, aber Defused Cyber hat am 27. Oktober explorative Versuche auf den eigenen Köder-Systemen registriert.
Wie schwerwiegend ist die Lücke?
Sie hat einen CVSS-Wert von 9.8. Laut BleepingComputer kann ein nicht authentifizierter Angreifer mit HTTP-Zugang damit mit wenig Aufwand die Kontrolle über das System übernehmen.
Welche Systeme sind betroffen?
Oracle E-Business Suite, insbesondere die Application Object Library und das Servlet Thin Client Framework. Die vorliegenden Quellen nennen hier keine betroffenen Versionen, deshalb prüfe die Warnung von Oracle.
Was kann ich tun, wenn ich den Patch nicht einspielen kann?
Entferne den Pfad /OA_HTML/AppsTCFServer aus der Allowlist der Firewall und beschränke den Zugriff auf die Web-Schicht auf vertrauenswürdige Netze. Überwache Server und Datenbank. Teste jede Änderung zuerst auf einer Nicht-Produktivumgebung.
Sind auch interne Systeme gefährdet?
Ja. Laut The Hacker News kann ein internes System getroffen werden, wenn der Angreifer das Servlet von einem kompromittierten Rechner oder aus einem anderen Netzsegment erreicht.
Drei Schritte für die kommenden Wochen
In den nächsten Monaten lohnt es sich zu beobachten, ob Oracle und die CISA die Lücke als aktiv ausgenutzt einstufen und ob öffentliche Exploits auftauchen. Fang aber schon jetzt an.
- Spiele das Critical Patch Update vom Oktober auf die EBS-Instanzen ein, zuerst auf die exponierten.
- Prüfe in den Logs die Anfragen an /OA_HTML/AppsTCFServer und die Indikatoren von Horizon3.ai.
- Erstelle eine Liste der Versionen ohne Support und plane das Upgrade.
