Oracle hat die kritische Schwachstelle CVE-2026-101767 (CVSS 9.8) in der Komponente Oracle Application Object Library des Produkts Oracle E-Business Suite im Rahmen des Critical Patch Update vom Oktober 2026 behoben. Die Schwachstelle stellt eine nicht authentifizierte SQL injection dar, die nach Angaben der Forscher von Horizon3.ai zu einer Kette kombiniert werden kann, um Remote Code Execution zu erreichen. Betroffen sind EBS-Versionen von 12.2.3 bis einschließlich 12.2.15. Organisationen, die Oracle E-Business Suite mit einem aus dem Netz erreichbaren Web-Layer einsetzen, müssen den Patch anwenden oder den Zugriff auf den verwundbaren Servlet umgehend einschränken.
Technische Details der Schwachstelle
Laut der Risikomatrix von Oracle hat CVE-2026-101767 ein maximal kritisches Profil: Der Angriffsvektor ist Netzwerk (HTTP/HTTPS), die Ausnutzung ist wenig komplex, Authentifizierung und Benutzerinteraktion sind nicht erforderlich. Die Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit werden als hoch eingestuft.
Nach Angaben der Untersuchung von Horizon3.ai befindet sich die Schwachstelle im Servlet Thin Client Framework (TCF), das unter dem Pfad /OA_HTML/AppsTCFServer erreichbar und durch die Klasse oracle.apps.fnd.tcf.SocketServer implementiert ist. Ein Angreifer mit Netzwerkzugriff auf diesen Endpoint kann SQL-Abfragen mit den Rechten des Datenbankbenutzers APPS ausführen und anschließend Betriebssystembefehle mit den Rechten des EBS-Anwendungskontos ausführen.
Eine erfolgreiche Ausnutzung ermöglicht das Lesen und Ändern von Daten, auf die der Benutzer APPS Zugriff hat. Je nach konkretem Deployment können nach Einschätzung von Horizon3.ai Finanzdaten, Gehaltsinformationen sowie Personal- und Beschaffungsdaten gefährdet sein. Die Zugriffsebene auf das Betriebssystem wird durch die Rechte des kompromittierten EBS-Anwendungskontos bestimmt.
Die Schwachstelle wurde von den Forschern Brandon Peterson, Jimmy Sabri und Noah King von Horizon3.ai entdeckt und ihren Angaben zufolge am 24. Juli 2026 an Oracle gemeldet. Der Patch wurde am 20. Oktober 2026 veröffentlicht.
Umfang der Bedrohung und Kontext
Am stärksten gefährdet sind EBS-Deployments mit einem Web-Layer, der aus dem Internet zugänglich ist. Wie Horizon3.ai anmerkt, sind jedoch auch interne EBS-Systeme verwundbar, wenn ein Angreifer den TCF-Servlet von einem bereits kompromittierten Host oder aus einem erreichbaren Netzsegment heraus erreichen kann. Dadurch wird die Angriffsoberfläche über den Perimeter hinaus vergrößert – ein einziger Einstiegspunkt in das interne Netz genügt.
Zum Zeitpunkt der Veröffentlichung ist CVE-2026-101767 nicht im CISA-Katalog Known Exploited Vulnerabilities (KEV) aufgeführt. Gleichzeitig sind zwei andere kritische Schwachstellen in Oracle EBS – CVE-2025-61882 und CVE-2026-46817 (beide mit CVSS 9.8) – bereits im KEV-Katalog enthalten, was ihre aktive Ausnutzung bestätigt. Laut Oracle-Sicherheitshinweis ist CVE-2025-61882 ebenfalls eine nicht authentifizierte Schwachstelle zur Remote Code Execution, die die Versionen 12.2.3–12.2.14 betrifft. CVE-2026-46817 betrifft die Komponente Oracle Payments (File Transmission) in den Versionen 12.2.3–12.2.15, wie im Oracle-Update vom Mai angegeben.
Produkte von Oracle sind wiederholt zum Ziel von Angriffen geworden – wir haben bereits über die von CISA bestätigte Ausnutzung einer Schwachstelle in Oracle WebLogic berichtet. Das Auftreten der dritten kritischen Schwachstelle in EBS innerhalb eines Jahres unterstreicht den systemischen Charakter der Risiken für diese Produktlinie.
Indikatoren einer Kompromittierung
Horizon3.ai hat die folgenden Indikatoren veröffentlicht, auf die Sie bei der Überwachung achten sollten:
- Nicht authentifizierte POST-Anfragen an
/OA_HTML/AppsTCFServer, die die Klasseoracle.apps.jtf.gantt.server.GanttDataServerinstanziieren, gefolgt von Aktivität in der Datenbank - SQL-Reconnaissance kurz nach nicht authentifizierten Webanfragen (Abfragen der Datenbankversion, des aktuellen Benutzers, von Directory-Objekten)
- Unerwartete Dateien im Verzeichnis
$APPLPTMPund das Erzeugen eines/bin/sh-Prozesses durch den Benutzer oracle über den Concurrent Manager, um Betriebssystembefehle auszuführen
Empfehlungen zum Schutz
Die vorrangige Maßnahme ist das Einspielen des Patches aus dem Critical Patch Update von Oracle vom Oktober 2026. Falls die sofortige Installation des Patches nicht möglich ist, empfiehlt Horizon3.ai die folgenden temporären Maßnahmen:
- Entfernen Sie
/OA_HTML/AppsTCFServer(zugeordnet zuoracle.apps.fnd.tcf.SocketServer) aus der Liste der erlaubten URLs in der EBS-Firewall - Beschränken Sie den Zugriff auf den EBS-Web-Layer auf vertrauenswürdige Netze
- Richten Sie ein Monitoring des EBS-Anwendungs-Hosts und der Datenbank auf Anzeichen einer Kompromittierung ein, unter Verwendung der oben beschriebenen Indikatoren
Horizon3.ai betont, dass diese Maßnahmen das Risiko senken, aber den Patch nicht ersetzen.
Angesichts der Tatsache, dass zwei vorherige kritische Schwachstellen in EBS bereits als aktiv ausgenutzt bestätigt und in den CISA-KEV-Katalog aufgenommen wurden, ist das Zeitfenster für eine sichere Verschiebung des Patches für CVE-2026-101767 äußerst klein. Organisationen mit Oracle-EBS-Deployments der Versionen 12.2.3–12.2.15 sollten die Installation des Oktober-Updates als Aufgabe mit höchster Priorität betrachten und bis zu dessen Einspielen den Zugriff auf den Servlet /OA_HTML/AppsTCFServer aus allen nicht vertrauenswürdigen Netzsegmenten umgehend blockieren.
