Ing. Calogero Bono
Oracle heeft op 20 oktober 2026 zijn Critical Patch Update gepubliceerd met 1295 nieuwe beveiligingspatches. Enkele dagen later, op 27 oktober, meldde het threat intelligence-bedrijf Defused Cyber verkennende exploitatiepogingen tegen een kwetsbaarheid in Oracle E-Business Suite, de CVE-2026-101767, met een CVSS-score van 9.8. Dit is relevant voor iedereen die het bedrijfs-ERP van Oracle beheert, omdat de gegevens die op het spel staan boekhouding, salarissen en inkoop kunnen betreffen. Wie de patch nog niet heeft toegepast, bevindt zich in het meest kritieke moment.
Enkele termen, voordat we op de feiten ingaan. CVE is de code die een kwetsbaarheid uniek identificeert. CVSS is de schaal van 0 tot 10 die de ernst meet. RCE betekent remote code execution, dus commando's op de server van een ander laten draaien. SQL injection is het invoegen van databaseinstructies in een webverzoek. EBS is Oracle E-Business Suite, de beheersuite.
Wat Oracle in oktober heeft gepubliceerd
Volgens de officiële waarschuwing van Oracle bevat de Critical Patch Update 1295 nieuwe patches voor verschillende productfamilies. Voor alleen de databaseproducten zijn het er 14 nieuwe, plus die van derden. Hiervan kunnen 4 kwetsbaarheden op afstand worden uitgebuit zonder authenticatie. In de tabel staat bijvoorbeeld een OpenSSL-kwetsbaarheid in de database met score 9.8.
Oracle benadrukt dat patches alleen worden uitgebracht voor versies die onder Premier Support of Extended Support vallen. Versies buiten support worden niet eens getest. Het bedrijf meldt ook regelmatig aanvallen op kwetsbaarheden die al gecorrigeerd zijn. In sommige gevallen slaagden aanvallers omdat klanten de patches niet hadden toegepast.
Hoe werkt de kwetsbaarheid CVE-2026-101767?
Het gaat om een authenticatieprobleem in de Application Object Library van EBS. Volgens The Hacker News hebben de onderzoekers Brandon Peterson, Jimi Sebree en Noah King van Horizon3.ai het op 24 juli 2026 aan Oracle gemeld.
De aanvalsketen
Horizon3.ai beschrijft het als een niet-geauthenticeerde SQL injection in de servlet Thin Client Framework, die kan worden gekoppeld tot het uitvoeren van code op afstand. Een zorgvuldig opgebouwd verzoek naar het pad /OA_HTML/AppsTCFServer laat SQL draaien met de rechten van de databasegebruiker APPS. Vanaf daar kom je bij de commando's van het besturingssysteem met de rechten van het applicatieaccount van EBS.
Welke gegevens lopen risico
Horizon3.ai waarschuwt dat de betrokken gegevens, afhankelijk van de installatie, financiële administratie, salarissen, personeelszaken en inkoop kunnen omvatten. Systemen die op internet zijn blootgesteld, lopen het meeste risico. Ook interne systemen kunnen worden getroffen als de aanvaller de servlet bereikt vanaf een gecompromitteerd systeem of vanuit een ander netwerksegment.
Wie zoekt naar kwetsbare systemen?
Defused Cyber heeft verklaard dat hun lokvogelsystemen op 27 oktober verkennende exploits tegen CVE-2026-101767 hebben geregistreerd. BleepingComputer meldt dat Oracle de kwetsbaarheid nog niet als actief uitgebuit heeft gemarkeerd. Shadowserver telt meer dan 670 blootgestelde EBS-installaties, vooral met Amerikaanse adressen, maar zegt niet hoeveel daarvan lokvogels zijn of al beveiligd.
De context weegt zwaar. Bronnen herinneren eraan dat CVE-2025-61882 is gebruikt door de afpersingsgroep Clop, en dat een andere kwetsbaarheid in PeopleSoft is uitgebuit door ShinyHunters. Volgens BleepingComputer heeft CISA sinds november 2021 46 Oracle-kwetsbaarheden opgenomen in de lijst van actief uitgebuite fouten, waarvan 13 ook in ransomware-aanvallen zijn gebruikt.
Wat te doen als je nu niet kunt updaten
Updates blijven het eerste antwoord. Als dat niet mogelijk is, noemt The Hacker News deze maatregelen.
- Verwijder /OA_HTML/AppsTCFServer uit de allowlist van de URL-firewall van EBS.
- Beperk de toegang tot de weblaag van EBS tot vertrouwde netwerken.
- Houd applicatiehost en database in de gaten op tekenen van compromittering.
Horizon3.ai geeft ook indicatoren van compromittering. Het gaat om niet-geauthenticeerde POST-verzoeken naar /OA_HTML/AppsTCFServer, verkenning van SQL direct daarna, onverwachte bestanden in $APPLPTMP en het account oracle dat via de Concurrent Manager /bin/sh start. Oracle waarschuwt dat het blokkeren van protocollen of het intrekken van rechten applicatiefuncties kan breken, dus test dit eerst op niet-productiesystemen.
Beperkingen om te kennen
Er is geen bevestiging van actief misbruik door Oracle. Defused spreekt over verkennende pogingen op lokvogelsystemen, niet over geslaagde inbraken. We weten niet hoeveel blootgestelde installaties nog kwetsbaar zijn, omdat Shadowserver dat niet onderscheidt. De tabel van Oracle die wij ter beschikking hebben is bovendien afgekapt, dus we kunnen niet alle kwetsbaarheden van de cyclus vermelden. Het beeld kan snel veranderen, ook met openbare exploitcode.
Wat verandert voor wie met digitale techniek werkt
Als jouw bedrijf of dat van een klant EBS gebruikt, is de patch niet meer iets om te plannen, maar iets om nu te doen. De tijd tussen de correctie en de scans was een week. Controleer of de servlet vanaf internet bereikbaar is en wie er vanuit het interne netwerk bij kan.
Wie integraties op EBS ontwikkelt, moet de inventaris van instanties en versies opnieuw opbouwen. Wie servers voor anderen beheert, moet weten welke systemen buiten support vallen, want voor die systemen komen geen patches. Organisatorisch kan een hosting met beheerde beveiligingsupdates een deel van deze wedloop van de schouders van het bedrijf halen. Het thema van de aanvaller die het zoeken naar kwetsbaarheden automatiseert, hebben we al behandeld in het artikel over de autonome AI-hacker en het Italiaanse mkb.
Onze mening
Het nieuws is niet de kwetsbaarheid zelf, maar de snelheid. Een week van patch tot eerste sondes betekent dat de kwartaalplanning van veel bedrijven te traag is voor blootgesteld software. Oracle doet er goed aan aan te dringen op het zonder vertraging toepassen van patches, maar een waarschuwing met 1295 correcties is lastig te verteren voor een klein bedrijf met één systeembeheerder.
Wij hebben één kritiekpunt. Centrale beheersystemen, vol gegevens over salarissen en leveranciers, blijven vaak bereikbaar vanuit te brede netwerken omdat niemand ze wil aanraken. Het blootgestelde oppervlak verkleinen kost minder dan welk incident ook. Wie geen intern team heeft, moet de beveiliging van software in het bedrijf behandelen als een doorlopend proces en niet als eenmalige ingreep.
Veelgestelde vragen
Is de CVE-2026-101767 al actief uitgebuit?
Er is geen officiële bevestiging. Oracle heeft de kwetsbaarheid nog niet als uitgebuit gemarkeerd, maar Defused Cyber heeft op 27 oktober verkennende pogingen geregistreerd op de eigen lokvogelsystemen.
Hoe ernstig is de kwetsbaarheid?
Ze heeft een CVSS-score van 9.8. Volgens BleepingComputer kan een niet-geauthenticeerde aanvaller met HTTP-toegang met aanvallen van lage complexiteit de controle over het systeem overnemen.
Welke systemen zijn betrokken?
Oracle E-Business Suite, met name de Application Object Library en de servlet Thin Client Framework. De verstrekte bronnen vermelden hier de betrokken versies niet, dus controleer de waarschuwing van Oracle.
Wat kan ik doen als ik de patch niet kan toepassen?
Verwijder het pad /OA_HTML/AppsTCFServer uit de allowlist van de firewall en beperk de toegang tot de webtier tot vertrouwde netwerken. Houd hosts en databases in de gaten. Test elke wijziging eerst op een niet-productieomgeving.
Zijn ook interne systemen in gevaar?
Ja. Volgens The Hacker News kan een intern systeem worden getroffen als de aanvaller de servlet bereikt vanaf een gecompromitteerde machine of vanuit een ander netwerksegment.
Drie stappen voor de komende weken
Houd de komende maanden in de gaten of Oracle en CISA de kwetsbaarheid als actief uitgebuit gaan classificeren en of er openbare exploits verschijnen. Begin in de tussentijd hier.
- Pas de Critical Patch Update van oktober toe op de EBS-installaties, te beginnen met de blootgestelde.
- Controleer in de logs de verzoeken naar /OA_HTML/AppsTCFServer en de indicatoren van Horizon3.ai.
- Maak een lijst van versies buiten support en plan de upgrade.
