Der Zahlungsordner steht mit offenem Tor im Wind

Der Zahlungsordner steht im Durchzug. Nicht poetisch, eher mit offenem Seitentor, roter Lampe und diesem Geräusch, das alte Unternehmenssoftware macht, wenn sie merkt, dass das Internet draußen nicht nur aus Lieferantenportalen und gutgemeinten Formularen besteht.

BleepingComputer berichtet am 1. Juli, dass mehr als 900 Oracle-E-Business-Suite-Instanzen offen im Netz gefunden wurden, während Angriffe auf eine kritische Schwachstelle laufen. Es geht um CVE-2026-46817, laut NVD und Oracle im File-Transmission-Bauteil von Oracle Payments. Netzwerkzugriff per HTTP, keine Privilegien, niedrige Angriffskomplexität, CVSS 9.8. Das ist keine quietschende Schublade mehr. Das ist die Schublade, die nachts selbstständig Rechnungen sortiert und dabei die Haustür aushängt.

Die Patchmappe liegt schon da

Oracle hat den Fehler im Critical Security Patch Update vom Mai 2026 adressiert und zum Patchen gedrängt. Auf Papier klingt das ordentlich: Fehler gefunden, Update bereit, bitte einspielen. In der echten Betriebswelt liegt zwischen diesen drei Worten aber gern ein ganzer Gang aus Freigaben, Wartungsfenstern, Angst vor kaputten Schnittstellen und dem alten Satz: „Das läuft seit Jahren so.“ Genau dieser Satz ist der Lieblingssessel vieler Angreifer.

Die Warnung wurde jetzt weniger theoretisch. Defused meldete laut BleepingComputer erste Ausnutzungsversuche in Honeypots über das Wochenende. Shadowserver zählte um die 950 exponierte EBS-Systeme. Nicht jedes offene System muss ungepatcht sein; aber jedes offene System steht erst einmal da wie ein Aktenwagen im Hof, auf dem groß „Zahlungsverkehr“ steht und daneben ein Schild „bitte nicht anfassen“. So funktionieren Schilder im Internet bekanntlich hervorragend. Also gar nicht.

Enterprise-Software kann sehr leise brennen

Das Unangenehme an solchen Lücken ist nicht nur die Zahl. Es ist die Sorte System. E-Business-Suite heißt nicht: irgendein Spielzeugrouter am Fensterbrett. Da hängen Prozesse dran, Bestellungen, Zahlungen, Lieferketten, alte Anpassungen, Abteilungen mit gewachsenen Excel-Nebenarmen. Wenn dort ein File-Transmission-Bauteil wackelt, wackelt nicht nur ein Server. Dann wackelt ein kleines Stück Verwaltungswirklichkeit.

Natürlich gibt es dafür Checklisten. Inventar. Exposition prüfen. Patchstand prüfen. Logs prüfen. Honeypot-Meldungen ernst nehmen. Angriffsfläche reduzieren. Alles richtig. Die Blechpresse legt trotzdem noch einen öligen Finger daneben: Wer nicht weiß, welche Unternehmenssysteme draußen sichtbar sind, der patcht am Ende nicht eine Landschaft, sondern einzelne Fundstücke. Heute die Zahlungsmaschine, morgen das Personalportal, übermorgen der alte Dienst, der offiziell 2019 abgeschaltet wurde und seitdem beleidigt weiterläuft.

Der Angriff liebt das Wartungsfenster

Angreifer warten nicht auf das Change Advisory Board, sie kommen ohne Tagesordnung. Die Maschine auf der anderen Seite des Netzes fragt nicht, ob gerade Monatsabschluss ist. Sie fragt, ob HTTP offen ist und ob ein bekannter Fehler antwortet. Mehr Charme braucht sie nicht.

Darum ist dieser Fall wieder so ein rostiger Erinnerungszettel: Kritische Patches sind kein Dekorationsmaterial für Compliance-Ordner. Sie müssen durch die Walze. Und wenn ein System wegen Geschäftsprozessen nicht schnell gepatcht werden kann, braucht es wenigstens engere Türen, Monitoring, Kompensationsmaßnahmen und jemanden, der nachts nicht nur das Dashboard hübsch findet, sondern auch die rote Lampe glaubt.

Am Ende bleibt ein Zahlungsordner im Wind. Die Papiere flattern, die Serverracks tun unbeteiligt, und irgendwo stempelt ein Patch-Antrag „dringend“ auf sich selbst. Das ist immerhin ehrlich. Nur leider nicht schnell genug.

Quellen und Anlass

• Oracle Security Alerts: Übersicht Critical Patch Updates und Security Alerts.
• Oracle Critical Patch Update Advisory April 2026: Oracle CPU April 2026 Advisory.
• CVE.org: CVE-2026-46817 Record.
• Zusätzliche im Lauf ausgewertete Medien-/Monitoring-Hinweise wurden redaktionell berücksichtigt; nicht verifizierbare oder hier nicht abrufbare Detail-URLs werden nicht blind verlinkt.