В Oracle E-Business Suite начали искать путь к выполнению кода через CVE-2026-101767
Исследовательская компания Defused Cyber зафиксировала попытки разведки уязвимости CVE-2026-101767 в Oracle E-Business Suite (EBS) с оценкой CVSS 9,8. Oracle устранила критический дефект в рамках октябрьского Critical Patch Update, а 27 октября ловушки Defused Cyber зарегистрировали обращения, похожие на начальную эксплуатацию.
SQL-инъекция без аутентификации
Проблема находится в Oracle Application Object Library и затрагивает сервлет Thin Client Framework. Исследователи Horizon3.ai Брэндон Петерсон, Джими Себри и Ноа Кинг сообщили Oracle об уязвимости 24 июля 2026 года.
Horizon3.ai характеризует CVE-2026-101767 как неаутентифицированную SQL-инъекцию, которую можно связать с удалённым выполнением кода. Атакующему нужен сетевой доступ к уязвимому сервлету TCF, расположенному по пути /OA_HTML/AppsTCFServer.
Специально сформированный запрос позволяет выполнить SQL от имени пользователя базы данных APPS. Далее атака может привести к запуску системных команд с правами учётной записи приложения EBS. Успешная эксплуатация даёт возможность читать или изменять доступные APPS прикладные данные и выполнять команды на хосте приложения.
Какие системы находятся в зоне риска
В зависимости от конфигурации в область доступа могут попадать финансовые сведения, данные расчёта заработной платы, кадровые и закупочные записи. Права на уровне операционной системы ограничены полномочиями скомпрометированной учётной записи приложения EBS.
Наибольшему риску подвержены экземпляры EBS, доступные из интернета. Однако внутреннее размещение само по себе не исключает атаку: эксплуатация возможна, если злоумышленник уже получил доступ к системе или сетевому сегменту, из которого виден уязвимый сервлет.
Что проверять после установки патча
Oracle и Horizon3.ai рекомендуют перейти на актуальную версию как можно скорее. Если обновление нельзя установить немедленно, следует удалить /OA_HTML/AppsTCFServer, связанный с oracle.apps.fnd.tcf.SocketServer, из списка разрешённых URL в межсетевом экране EBS и ограничить доступ к веб-уровню доверенными сетями.
Признаками компрометации могут быть неаутентифицированные POST-запросы к AppsTCFServer с созданием класса oracle.apps.jtf.gantt.server.GanttDataServer, после которых следует активность в базе данных. Horizon3.ai также советует искать SQL-разведку версии БД, текущего пользователя и объектов каталогов, неожиданные файлы в $APPLPTMP и запуск /bin/sh учётной записью oracle через Concurrent Manager.
Уязвимости EBS уже привлекали внимание атакующих: за последний год активно эксплуатировались CVE-2025-61882 и CVE-2026-46817, также оценённые в 9,8 балла. Для бизнеса практический шаг — сопоставить инвентарь EBS с доступностью сервлета, установить обновление и проверить журналы по указанным признакам, не откладывая это до подтверждённого инцидента.