Oracle E-Business Suite Engineering: Kompromittierung aus dem Netzwerk in Change Management
Zusammenfassung
Oracle E-Business Suite Engineering (Komponente Change Management) in den unterstützten Versionen 12.2.3 bis 12.2.15 ist von einer Schwachstelle betroffen, die über HTTP ausgenutzt werden kann. Ein Angreifer mit einem Konto mit niedrigen Berechtigungen und Netzwerkzugriff kann gemäss CVSS-Vektor die Vertraulichkeit, Integrität und Verfügbarkeit vollständig beeinträchtigen. Für den Angriff ist ein gültiger Login mit niedrigen Berechtigungen nötig, den in typischen Umgebungen viele Mitarbeitende besitzen.
Betroffen
- Oracle E-Business Suite Engineering (Komponente Change Management)
- Unterstützte Versionen 12.2.3 bis 12.2.15
- Genaue Patch-Kennungen: Unbekannt.
Behoben in
- Behoben im Oracle Critical Patch Update vom Oktober 2026 (veröffentlicht am 20. Oktober 2026).
- Spezifische EBS-Patchnummern: Unbekannt. Siehe My Oracle Support Note KA923 und das Oracle-Advisory.
Umgehung
- Für diese CVE ist kein vom Hersteller dokumentierter Workaround bekannt.
- Zugriff auf E-Business Suite und deren Konsolen auf die benötigten Benutzer beschränken, z. B. per VPN oder Allow-List.
Ausnutzung
- Aktive Ausnutzung: Unbekannt (in den geprüften Quellen keine Hinweise gefunden; CISA KEV erneut prüfen).
- Öffentlicher Proof of Concept: keiner gefunden.
- CISA-SSVC-Bewertung: Exploitation none, Automatable no, Technical Impact total.
Unsere Empfehlung
- Beim EBS-Provider oder im internen Team abklären, ob ein System die Release-Version 12.2.3 bis 12.2.15 einsetzt und ob der Oktober-2026-CPU eingespielt ist, einschliesslich Datenbank- und Middleware-Schicht.
- Die genaue Patch-Liste aus KA923 und dem Oracle-Advisory beziehen und ohne Verzug einspielen.
- Prüfen, dass EBS und seine Konsolen nur bei Bedarf aus dem Internet erreichbar sind.
- EBS-Web- und Login-Logs seit dem 20. Oktober 2026 auf ungewöhnliche Aktivitäten prüfen.
- CISA KEV und das Oracle-Advisory auf Änderungen erneut prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Oracle Critical Patch Update Advisory October 2026 www.oracle.com
- VulnCheck/Vulners CVE record CVE-2026-101813 vulners.com
- Strix CVE-2026-101813 www.strix.ai
- Brandefense: Oracle October 2026 CPU brandefense.io
- SecurityOnline: Oracle CPU October 2026 securityonline.info
- BleepingComputer: Hackers scanning for recently patched Oracle flaw www.bleepingcomputer.com
- Help Net Security: Oracle EBS CVE-2026-101767 exploitation www.helpnetsecurity.com
- Oracle EBS Java CPU checker (October 2026) blogs.oracle.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 15:16.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.