CISA kennzeichnet kritische Schwachstelle im Oracle E-Business Suite als bereits ausgenutzt und setzt Frist für die Bundesregierung

Was wurde zum KEV hinzugefügt

Die Cybersecurity and Infrastructure Security Agency hat am 15. Juli die CVE-2026-46817, eine kritische Schwachstelle im Oracle E-Business Suite, in den Katalog der Bekanntgemachten Schwachstellen (Known Exploited Vulnerabilities) aufgenommen. Der Fehler, der mit CVSS 9.8 eingestuft ist, betrifft die Dateiübertragungs-Komponente des Produkts Oracle Payments innerhalb des EBS. Ein nicht authentifizierter Angreifer, der lediglich HTTP-Zugriff auf die Instanz hat, kann Code mit erhöhten Rechten ohne Benutzerinteraktion ausführen. Die betroffenen Versionen reichen von 12.2.3 bis 12.2.15, was die meisten Produktionsinstallationen abdeckt.

Oracle hat im Critical Security Patch Update von Mai 2026 eine Behebung für die Schwachstelle veröffentlicht. Laut einer Untersuchung von BleepingComputer sind mehr als 900 Instanzen des Oracle EBS derzeit im offenen Internet exponiert, von denen ein Teil noch nicht gepatchte Versionen betreibt. Die ersten versuchten aktiven Ausnutzungen wurden am Wochenende vor der Aufnahme in den KEV registriert, mit Akteuren, die massenhaft nach verwundbaren Instanzen scannen und escalieren, um Persistenz zu erreichen.

Das eigentliche Problem: Patching ist langsam in EBS

Oracle EBS ist keine Software, die man am Samstagnachmittag aktualisiert. Echte Instanzen laufen mit tiefgreifenden Anpassungen in den Bereichen Lohnabrechnung, Treasury, Kreditorenbuchhaltung und Integration mit Hyperion, benutzerdefiniertem R12, Fusion Middleware und Verbindungsstellen zu Banken und Regulierungsbehörden. Jede Anwendung eines CPU erfordert Regressionstests, die mehrere funktionale Bereiche durchlaufen und oft zu Bruchstellen im benutzerdefinierten Code führen. Laut bekannter Branchenerfahrung und einer vorherigen Forschung des Ponemon Instituts liegt der durchschnittliche Zeitraum zwischen der Veröffentlichung eines CPU und der Einführung in der Produktion in Fortune-500-Unternehmen zwischen 3 und 6 Monaten.

Dieser Abstand ist es, den Angreifer ausnutzen. Zwischen der Veröffentlichung des CPU im Mai und der Aufnahme in den KEV am 15. Juli hatten die Verteidiger etwa zwei Monate Zeit, und ein erheblicher Teil hat die Arbeiten nicht abgeschlossen. Die US-Bundesbehörden haben nun 21 Tage, gerechnet ab dem 15. Juli, um den Patch anzuwenden oder die exponierte Instanz abzuschalten, gemäß der Richtlinie BOD 22-01 der CISA. Die Frist gilt nicht für den privaten Sektor oder für Operationen außerhalb der Vereinigten Staaten, dient jedoch als Referenz für eine akzeptable Mindestzeit.

Wo die Exposition außerhalb der Vereinigten Staaten ins Gewicht fällt

Oracle EBS ist das finanzielle Rückgrat eines erheblichen Teils der großen Unternehmen in drei verschiedenen geografischen Regionen. In den Vereinigten Staaten deckt die historische Basis den Einzelhandel, die Energieversorgung, die Verteidigung und die Bundesregierung ab, wobei mehrere Behörden weiterhin EBS 12.2 betreiben. Im Vereinigten Königreich betreiben öffentliche Einrichtungen und Dienstleistungen, die mit dem NHS verbunden sind, EBS. In Asien ist Indien der größte Markt für EBS außerhalb der USA, der große Konglomerate wie Tata und Reliance abdeckt.

Brasilien taucht in der Rechnung über Banken, Bergbauunternehmen und Versorgungsunternehmen auf. Viele der größten Finanz- und Industrieinstitute des Landes betreiben Finanz- oder Lieferkettenmodule auf EBS 12.2, und einige dieser Expositionen sind in öffentlichen Tools wie Shodan und Censys erfasst. Bis zum Zeitpunkt des Schreibens dieses Textes hat keine dieser Institutionen veröffentlicht, ob sie das CPU von Mai angewendet hat, was eine Routineoperation ist, die normalerweise nicht kommuniziert wird, aber in diesem speziellen Zeitraum an Bedeutung gewonnen hat, da der Vektor remote, ohne Authentifizierung und mit CVSS 9.8 ist. Der verantwortungsvolle Weg für einen brasilianischen CISO an diesem Morgen besteht darin, mit dem Oracle-Operationsteam die genaue Version jeder Instanz zu bestätigen, die Perimeterexposition zu überprüfen und jede Instanz, die auf Shodan mit einer Version vor dem korrigierten 12.2.15 angezeigt wird, als aktives Sicherheitsvorfall zu behandeln, bis das Gegenteil bewiesen ist.

Das sich wiederholende Muster

Nichts davon ist in der Form neu. Angetrieben von der strukturellen Langsamkeit des Patchings in Finanz-ERPs, warten Angreifer auf das Zeitfenster zwischen CPU und Adaption, scannen, exploiten, monetisieren. Dies war das Drehbuch bei den Schwächen des SAP NetWeaver 2020, des Oracle WebLogic 2021 und des BIG-IP F5 2023. Die neue Komponente im Jahr 2026 ist die komprimierte Ausnutzungszeit. Zwischen Veröffentlichung und ersten automatisierten Scans hat sich das Intervall von Wochen auf Tage verkürzt, wahrscheinlich aus demselben Grund, warum die defensiven Teams mit KI schneller geworden sind: Patch-Diff-Analyse, Generierung von POCs und Verpackung in offensive Tools sind ebenfalls schneller geworden.

Für den CISO bleibt die Rechnung einfach. Das Zeitfenster der Ruhe nach dem CPU wird immer kleiner, und eine Organisation, die nur die Anwendung für den nächsten Quartalszyklus plant, bleibt systematisch hinter dem Gegner zurück. Es geht nicht um punktuelle CVSS-Diskussionen. Es geht um Kadenz.