Oracle hat mit dem Oktober-Critical-Patch-Update mehr als 1.200 Lücken geschlossen. Eine davon ist eine CVSS-9,8-Lücke in der E-Business-Suite — und die Honeypots zeigen bereits Verkehr, der auf sie zielt.
Es geht um CVE-2026-101767 in der Oracle Application Object Library. Die Formulierung in Oracles eigener Warnung ist unmissverständlich: Ein Angreifer mit HTTP-Zugriff auf eine verwundbare Instanz braucht keine Zugangsdaten, um sie vollständig zu kompromittieren. Betroffen sind die Versionen 12.2.3 bis 12.2.15.
Die Analyse von Horizon3.ai führt den Mechanismus auf eine SQL-Injection im Servlet des Thin Client Framework zurück und von dort auf das Einschleusen und Ausführen von Code. Diese Eskalation ist der Punkt: Eine SQL-Injection im Backend eines ERP-Systems ist kein reiner Datenabfluss. Sie ist ein Standbein auf dem System, in dem die Bücher geführt werden.
DefusedCyber meldet auf X, die eigenen E-Business-Suite-Honeypots hätten seit Dienstag dieser Woche ausforschende Exploits gegen die CVE gesehen. „Ausforschend“ ist das entscheidende Wort: Das sieht nach Aufklärung und Erprobung aus, nicht nach einer Massenkampagne. Für eine koordinierte Datenabschöpfungsoperation, wie sie die E-Business-Suite früher schon erlebt hat, gibt es bislang keine öffentlichen Belege.
Genau diese Vorgeschichte macht den Zeitplan unangenehm. Im Herbst 2025 führte die Ransomware-Gruppe Cl0p eine Massenausnutzung einer EBS-Lücke durch, schöpfte Daten in großem Umfang ab und erpresste anschließend Betroffene über Hunderte, womöglich Tausende kompromittierte E-Mail-Konten. Ende Juni 2026 nutzten Kriminelle eine andere kritische Lücke in EBS Payments aus — erneut mit vollständiger Übernahme verwundbarer Instanzen. EBS ist kein obskures Ziel, das Angreifer erst für sich entdecken müssten. Es ist ein eingeübtes.
Das strukturelle Problem: Die E-Business-Suite ist geschäftskritisch und zugleich schwer zu patchen. Sie trägt Finanzen, Personal, Einkauf und Lieferkette. Sie hängt häufig über Lieferantenportale und Self-Service-Module im Internet. Und große ERP-Upgrades laufen im Jahres-, teils im Mehrjahrestakt, sodass Sicherheitsupdates hinter Change-Control-Gremien anstehen. Ein Patchtag mit weit über tausend Korrekturen macht es leicht, dass eine einzelne davon untergeht.
Die praktische Empfehlung ist die übliche und zugleich die richtige. Das Oktober-CPU gehört jetzt auf jede aus dem Internet erreichbare EBS-Instanz. Ist das diese Woche nicht möglich, gehören diese Instanzen aus dem offenen Internet hinter ein VPN oder ein Application-Layer-Gateway — die Lücke verlangt Netzzugriff, und ihn zu entfernen kauft Zeit. Danach: suchen. SQL-Injection-Versuche gegen Endpunkte des Thin Client Framework, ungewöhnliche ausgehende Verbindungen, neue Konten oder geplante Jobs auf Datenbankinstanzen, auf denen sie nichts zu suchen haben.
Unangenehm ist, was eine Woche stillen Honeypot-Sondierens impliziert. Die Waffenisierung einer nicht authentifizierten 9,8 in einem ERP-System ist kein „ob“. Das Zeitfenster, in dem die Verteidiger im Vorteil sind, misst sich in Tagen — und es hat sich geöffnet, als der Patch erschien, nicht als das erste Opfer anrief.
