Eine neue SQL-Injection in Oracle E-Business Suite hat Schweregrad 9,8. Angreifer erreichen sie über HTTP und brauchen keinen Login. Defused sah am 27. Oktober Probeangriffe auf seine Köderserver. Oracle hat den Fehler im Oktober-Patchpaket behoben.
Inhalt 8 Abschnitte
Eine neue Lücke in Oracle E-Business Suite hat Schweregrad 9,8 von 10, und erste Angreifer testen sie bereits. Die Sicherheitsfirma Defused meldet Angriffsversuche vom 27. Oktober. Oracle hat den Fehler nur wenige Tage zuvor im Oktober-Patchpaket behoben.
Das Wichtigste in Kürze
- Kritische Lücke mit Schweregrad 9,8: CVE-2026-101767 ist eine SQL-Injection im Produkt Application Object Library von Oracle EBS.
- Kein Login nötig: Angreifer erreichen den Fehler aus der Ferne über HTTP und können im schlimmsten Fall eigenen Code ausführen.
- Erste Angriffsversuche seit dem 27. Oktober: Defused sah Testangriffe auf seine Köderserver. Weitere Berichte über Angriffe im Netz liegen laut Quelle nicht vor.
- Patch ist verfügbar: Oracle hat den Fehler im Oktober-CPU behoben.
Was über die Lücke in Oracle EBS bekannt ist
Oracle beschreibt den Fehler als SQL-Injection. Sie steckt im Modul Application Object Library, einem Kernbestandteil von E-Business Suite. Angreifer brauchen weder Konto noch Passwort. Ein Zugriff über HTTP genügt.
Wer die Lücke erfolgreich ausnutzt, kann Code auf dem System ausführen. Damit lässt sich das betroffene Modul vollständig übernehmen. Gefunden und gemeldet hat den Fehler das Sicherheitsunternehmen Horizon3.ai.
Die Meldung stammt von SecurityWeek. Defused sprach die erste Warnung am 27. Oktober 2026 aus. Dieses Datum gilt als Veröffentlichungsdatum der Hauptquelle. Spätere Aktualisierungen der Quelle liegen nicht vor, deshalb gilt dieser Stand.
Die wichtigsten Daten im Überblick
| Kennzahl | Wert | Bedeutung |
|---|---|---|
Kennung |
CVE-2026-101767 |
Eindeutige Nummer der Lücke |
CVSS-Wert |
9,8 |
Kritisch, fast höchste Stufe |
Betroffenes Modul |
Application Object Library |
Teil von Oracle E-Business Suite |
Angriffsweg |
HTTP, ohne Anmeldung |
Aus dem Netz erreichbar, keine Hürde |
Erste Angriffsversuche |
27. Oktober |
Laut Defused auf Köderservern beobachtet |
Patch |
Oktober-CPU von Oracle |
Bereits verfügbar, kurz vor der Meldung erschienen |
Warum EBS ein beliebtes Ziel ist
Oracle EBS gerät immer wieder ins Visier von Angreifern. Im Juni warnte Defused vor Angriffen auf CVE-2026-46817. Dieser kritische Fehler steckt in der Komponente File Transmissions des Produkts Payments.
Im Jahr davor nutzte die Erpressergruppe Cl0p Zero-Day-Lücken in der Software aus. Sie griff damit auf gespeicherte Daten zu. Die Kampagne traf möglicherweise mehr als 100 Organisationen. Betroffen waren Branchen wie Energie, Finanzen, Industrie, Medien, Telekommunikation und Software.
Daher lohnt es sich, auch eine bisher nur getestete Lücke ernst zu nehmen. Wer EBS betreibt, hält Daten, die für Erpresser viel wert sind.
Was Defused genau beobachtet hat
Defused betreibt Köderserver, die Oracle EBS nachahmen. Auf diesen Systemen zeichnete die Firma am Morgen des 27. Oktober Probeangriffe auf. Sie schreibt von "exploratory exploits", also von Versuchen, die Lücke auszuloten. Die Firma hat dies auf X gemeldet.
Dazu gibt es zwei Einschränkungen aus der Quelle:
- Es handelt sich um Testversuche auf Köderservern.
- Berichte über erfolgreiche Angriffe auf echte Firmen gibt es bisher nicht.
Das kann sich schnell ändern. Sobald Angreifer ihre Werkzeuge angepasst haben, folgen oft breitere Wellen. Die Quelle sagt dazu nichts. Sie zeigt nur, dass die Suche nach verwundbaren Systemen begonnen hat.
Einordnung: Was das für Admins in der Schweiz heisst
Wer in der Schweiz Oracle E-Business Suite betreibt, sollte den Oktober-CPU von Oracle jetzt einspielen. Die Frist setzt die Lage selbst: Erste Angriffsversuche gibt es seit dem 27. Oktober. Prüft zuerst, ob das Modul Application Object Library bei euch läuft und ob die Instanz per HTTP erreichbar ist. Systeme, die direkt aus dem Internet erreichbar sind, gehören an die Spitze der Liste. Die Quellen nennen keine Preise für den Patch. Der Aufwand besteht im Einspielen und Testen. Er fällt klein aus gegen die Folgen eines Datenabflusses, wie ihn die Cl0p-Kampagne gezeigt hat.
Fazit
Die Lücke ist kritisch, aus der Ferne erreichbar und seit dem Oktober-CPU behebbar. Der nächste Schritt ist klar: Patch prüfen, einspielen und Zugriffe auf EBS von aussen kontrollieren. Wer das aufschiebt, gibt Angreifern Zeit, die sie bereits zu nutzen beginnen.
Quellen: SecurityWeek. Foto: Magnascan / Pixabay. Stand: 28. Oktober 2026.
Geschrieben von der Redaktion · Freigegeben von Andreas Brauckmann · So arbeitet die Redaktion
Änderungshistorie
- — Artikel veröffentlicht.