Oracle E-Business Suite Workflow: Unauthentifizierte Übernahme über HTTP
Zusammenfassung
CVE-2026-91506 betrifft die Komponente Workflow Notification Mailer von Oracle E-Business Suite (EBS) in den Versionen 12.2.3 bis 12.2.15. Ein nicht authentifizierter Angreifer mit Netzwerkzugriff per HTTP kann Workflow kompromittieren, was laut Oracle eine Übernahme der Komponente ermöglichen kann. Die Ausnutzung gilt als schwierig (hohe Angriffskomplexität). NVD bewertet die Schwachstelle mit 8.1 (Hoch).
Betroffen
- Oracle E-Business Suite Workflow, Komponente Workflow Notification Mailer
- Versionen 12.2.3 bis 12.2.15 (gemäss NVD und CVE-Eintrag)
Behoben in
- Behoben im Critical Patch Update (CPU) von Oracle vom Oktober 2026
- Konkrete Patch-Nummern und AD/TXK-Stände: Unbekannt. Diese sind dem Advisory von Oracle zu entnehmen.
Umgehung
- Kein Workaround des Herstellers bekannt. Der Patch von Oracle ist die Massnahme.
- Generische Zwischenmassnahme (nicht von Oracle): Internetzugriff auf EBS einschränken und den Zugriff auf Workflow-Endpunkte über eine Web Application Firewall oder Reverse-Proxy-Regeln begrenzen.
Ausnutzung
- CISA-SSVC-Bewertung im NVD-Eintrag: Ausnutzung none, automatisierbar no.
- Zum Zeitpunkt der Recherche nicht im CISA-KEV-Katalog.
- Kein öffentlicher Proof of Concept gefunden.
- EPSS 0.00294.
Unsere Empfehlung
- Prüfen, ob EBS in den Versionen 12.2.3 bis 12.2.15 eingesetzt wird und ob Workflow Notification Mailer aktiviert ist.
- Prüfen, ob EBS-Webendpunkte aus dem Internet erreichbar sind; falls ja, dringend behandeln.
- Die Workflow-Patches des Oktober-2026-CPU gemäss Advisory von Oracle einspielen. Im Advisory sollte zudem geprüft werden, ob eine verwandte Workflow-Schwachstelle unter CVE-2026-101809 enthalten ist, die von Sekundärquellen genannt wird.
- Web- und Mailer-Logs auf ungewöhnliche Workflow-Anfragen prüfen.
- Rein intern erreichbare Systeme im nächsten regulären Wartungsfenster patchen, ohne lange Verzögerung.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Oracle Critical Patch Update Advisory October 2026 www.oracle.com
- NVD record via Vulners vulners.com
- OpenCVE CVE-2026-91506 app.opencve.io
- Oracle October 2026 CPU coverage (Waratek) waratek.com
- Oracle EBS Workflow vulnerability coverage (SecurityOnline) securityonline.info
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 18:13.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.