← Все новости

Безопасность Важно · CVE-2026-101767

Хакеры начали искать Oracle E-Business Suite с непропатченной критической уязвимостью CVE-2026-101767Attackers start probing Oracle E-Business Suite for unpatched critical CVE-2026-101767

Через несколько дней после октябрьского CPU ловушки Defused Cyber зафиксировали попытки эксплуатации SQL-инъекции без аутентификации в EBS (CVSS 9.8). Уязвимость даёт выполнение команд на сервере и доступ к финансовым и кадровым данным.Days after Oracle's October CPU, Defused Cyber's honeypots caught exploitation attempts against an unauthenticated SQL injection in EBS (CVSS 9.8). The flaw leads to command execution and access to financial and HR data.

Oracle закрыла CVE-2026-101767 (CVSS 9.8) в октябрьском Critical Patch Update. Уже 27 октября ловушки компании Defused Cyber, имитирующие E-Business Suite, зафиксировали первые попытки эксплуатации.

Что за уязвимость

Ошибка находится в Oracle Application Object Library. Исследователи Horizon3.ai, сообщившие о ней Oracle ещё 24 июля, описывают её как SQL-инъекцию без аутентификации в сервлете Thin Client Framework (/OA_HTML/AppsTCFServer). Атакующий с сетевым доступом к сервлету выполняет SQL от имени пользователя БД APPS, а затем команды ОС от учётной записи приложения. Так можно читать и менять финансовые, зарплатные, кадровые и закупочные данные.

EBS уже не раз становилась целью массовых кампаний с кражей данных и вымогательством, поэтому быстрое сканирование после патча ожидаемо.

Что делать

  1. Установить октябрьский CPU как можно скорее.
  2. Если обновиться сразу нельзя:
    • убрать /OA_HTML/AppsTCFServer из allowlist URL-фаервола EBS;
    • ограничить доступ к веб-уровню EBS доверенными сетями.
  3. Искать признаки компрометации:
    • POST-запросы без аутентификации к AppsTCFServer, создающие класс Gantt data server, а за ними активность в БД;
    • разведочные SQL-запросы (версия БД, текущий пользователь, объекты-каталоги) сразу после анонимных веб-запросов;
    • неожиданные файлы в $APPLPTMP;
    • запуск /bin/sh учётной записью oracle через Concurrent Manager.

Oracle fixed CVE-2026-101767 (CVSS 9.8) in its October Critical Patch Update. By October 27, Defused Cyber’s E-Business Suite honeypots were already recording exploitation attempts.

The flaw

The bug sits in Oracle Application Object Library. Horizon3.ai researchers, who reported it to Oracle on July 24, describe it as an unauthenticated SQL injection in the Thin Client Framework servlet (/OA_HTML/AppsTCFServer). An attacker with network access to the servlet can run SQL as the APPS database user, then OS commands as the application account. That opens financial, payroll, HR and procurement data to reading and tampering.

EBS has repeatedly been a target of mass data-theft and extortion campaigns, so fast post-patch scanning is no surprise.

What to do

  1. Apply the October CPU as soon as possible.
  2. If you can’t patch right away:
    • remove /OA_HTML/AppsTCFServer from the EBS URL firewall allowlist;
    • restrict access to the EBS web tier to trusted networks.
  3. Hunt for signs of compromise:
    • unauthenticated POSTs to AppsTCFServer that instantiate the Gantt data-server class, followed by database activity;
    • SQL reconnaissance (DB version, current user, directory objects) right after anonymous web requests;
    • unexpected files in $APPLPTMP;
    • the oracle account spawning /bin/sh through the Concurrent Manager.

Сюжет

  1. Oracle выпустила октябрьский Critical Patch Update: более 1200 уязвимостейOracle's October Critical Patch Update fixes more than 1,200 vulnerabilities
  2. Хакеры начали искать Oracle E-Business Suite с непропатченной критической уязвимостью CVE-2026-101767Attackers start probing Oracle E-Business Suite for unpatched critical CVE-2026-101767

Источники

Похожие новости