Oracle E-Business Suite: Informationsabfluss in Valid Session

Zusammenfassung

CVE-2026-87356 betrifft die Komponente Applications Platform Engineering (Valid Session) von Oracle E-Business Suite in den Versionen 12.2.3 bis 12.2.15. Ein Angreifer mit einem Konto mit niedrigen Rechten und einer Anmeldung an der Infrastruktur, auf der die Komponente läuft, kann diese kompromittieren, mit hohen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit (CVSS 7.8). Die CWE lautet CWE-200 (Informationsoffenlegung), und der Eintrag beschreibt zusätzlich eine mögliche Übernahme der Komponente. Die Schwachstelle ist ohne Konto nicht aus dem Internet erreichbar.

Betroffen

• Oracle E-Business Suite, Applications Platform Engineering (Komponente Valid Session)
• Versionen 12.2.3 bis 12.2.15

Behoben in

• Das Critical Patch Update von Oracle vom Oktober 2026 ist die Referenz für diese CVE. Der konkrete Patch ist in den Recherchequellen nicht bestätigt.
• Prüfen Sie die My Oracle Support Note KA923 und die EBS-Risikomatrix im Advisory von Oracle auf die benötigten Patches.

Umgehung

• Eine Workaround-Massnahme des Herstellers ist nicht bekannt.
• Bis zur Anleitung von Oracle: Anzahl der Konten mit EBS-Anmeldung begrenzen, nicht genutzte Konten entfernen und EBS-Administrations- und Middleware-Konsolen nicht öffentlich aus dem Internet erreichbar machen.

Ausnutzung

• Es gibt keine Hinweise auf eine Ausnutzung in freier Wildbahn, und es wurde kein öffentlicher Proof of Concept gefunden.
• CISA-SSVC-Bewertung: Exploitation none, Automatable no, Technical Impact total.
• Nicht im CISA-KEV-Katalog bestätigt (nicht direkt verifiziert).
• Nicht mit CVE-2026-101767 verwechseln, einer aus dem Internet erreichbaren EBS-Schwachstelle, die aktiv gescannt wird.

Unsere Empfehlung

• Das Critical Patch Update für E-Business Suite vom Oktober 2026 zusammen mit den übrigen EBS-Korrekturen dieses CPU einspielen, nachdem die Patch-Zuordnung im Advisory von Oracle geprüft wurde.
• Prüfen, welche Konten eine EBS-Anmeldung haben, und nicht benötigte oder übermässige Berechtigungen entfernen.
• EBS-Administrations- und Middleware-Konsolen nicht öffentlich aus dem Internet erreichbar machen und Anmeldungen an der EBS-Infrastruktur überwachen.
• Mit dem Kunden klären, ob EBS im Einsatz ist, da die Verbreitung bei Schweizer KMU unbekannt ist.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Oracle Critical Patch Update Advisory October 2026 www.oracle.com
• NVD record via Vulners vulners.com
• Strix CVE-2026-87356 www.strix.ai
• Rescana: Oracle E-Business Suite CVE-2026-101767 and October CPU www.rescana.com
• Brandefense: Oracle October 2026 CPU brandefense.io

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 23:21.