Oracle E-Business Suite: Fehlende Authentifizierung in Product Workbench WebUI

Zusammenfassung

Die Komponente WebUI von Oracle E-Business Suite (EBS) Product Workbench ist von CVE-2026-101808 betroffen (CWE-287, CWE-306). Die unterstützten Versionen 12.2.3 bis 12.2.15 sind betroffen. Ein nicht authentifizierter Angreifer mit Netzwerkzugriff über HTTP kann dies ohne Benutzerinteraktion ausnutzen und Daten erstellen, ändern oder löschen sowie auf kritische Daten in Product Workbench zugreifen. Der CVSS-3.1-Basiswert beträgt 9.1 (kritisch), und die NVD-Analyse war in den geprüften Quellen noch ausstehend.

Betroffen

• Oracle E-Business Suite, Product Workbench (Komponente WebUI)
• Versionen 12.2.3 bis 12.2.15

Behoben in

• Enthalten im Oracle Critical Patch Update vom Oktober 2026 (veröffentlicht am 20. Oktober 2026)
• Exakter Patchname und exakte Patchnummer: Unbekannt. Oracle verweist EBS-Kunden auf My Oracle Support Note KA923; die Abdeckung von CVE-2026-101808 ist dort noch zu bestätigen.
• Das Patchen der EBS-Anwendung allein genügt nicht; die zugehörigen Komponenten Oracle Database und Fusion Middleware müssen ebenfalls gepatcht werden.

Umgehung

• Kein Workaround des Herstellers gefunden: Unbekannt.
• Nur als vorübergehende Massnahme (für diese CVE nicht verifiziert): Zugriff auf die HTTP-Schnittstelle von EBS über Firewall, VPN oder WAF einschränken, bis ein Patch installiert ist. Keine generische WAF-Regel als Schutz verlassen.

Ausnutzung

• Aktive Ausnutzung in freier Wildbahn: keine Hinweise für diese CVE gefunden.
• CISA KEV: Stand 21. Oktober 2026 nicht gelistet (erneut zu prüfen).
• Öffentlicher Proof of Concept: keiner gefunden.
• Hinweis: CVE-2026-101767 (Application Object Library, gleiches CPU) soll gezielt angegriffen werden; dies ist eine andere CVE.

Unsere Empfehlung

• Prüfen, ob EBS-Instanzen der Versionen 12.2.3 bis 12.2.15 im Einsatz sind und ob deren HTTP-Schnittstelle aus dem Internet erreichbar ist. Aus dem Internet erreichbare Instanzen haben höchste Priorität.
• Das Oktober-2026-CPU installieren, den Patch in der Oracle-Mitteilung und in KA923 verifizieren und die EBS-Anwendung zusammen mit den Komponenten Oracle Database und Fusion Middleware patchen.
• Falls ein sofortiges Patchen nicht möglich ist, die Internetexposition der HTTP-Schnittstelle von EBS einschränken.
• Logs auf nicht authentifizierte Zugriffe auf Product Workbench überwachen und auf KEV-Eintrag sowie Herstellerupdates prüfen.
• Nicht mit CVE-2026-61269 verwechseln (separates, weniger kritisches Product-Workbench-Problem).

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Oracle Critical Patch Update Advisory, October 2026 www.oracle.com
• NVD record via Vulners vulners.com
• CNA record via Vulners vulners.com
• Strix CVE-2026-101808 summary www.strix.ai
• Waratek: Oracle October 2026 CPU waratek.com
• Brandefense: Oracle October 2026 CPU brandefense.io
• SecurityOnline: Oracle Critical Patch Update October 2026 securityonline.info
• Cyberpress: Oracle security update cyberpress.org

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 05:47.