Defused Cyber poinformował, że 27 października 2026 r. jego pułapki Oracle E-Business Suite (EBS) odnotowały próby sondowania podatności CVE-2026-101767. Oracle opublikował październikową aktualizację Critical Patch Update 20 października, a Horizon3.ai wskazuje ją jako poprawkę usuwającą tę lukę.
Których wersji EBS dotyczy luka
Horizon3.ai wskazuje Oracle EBS w wersjach 12.2.3–12.2.15 włącznie. Podatność dotyczy komponentu Oracle Application Object Library, Core, a jej punktem wejścia jest serwlet Thin Client Framework (TCF) pod ścieżką /OA_HTML/AppsTCFServer. Według Horizon3.ai serwlet jest zaimplementowany w klasie oracle.apps.fnd.tcf.SocketServer, a domyślna konfiguracja zapory adresów URL EBS go dopuszcza. Październikowy CPU Oracle obejmuje te wersje EBS.
CVE-2026-101767 to nieuwierzytelnione wstrzyknięcie SQL, ocenione przez Horizon3.ai na 9,8 w skali CVSS 3.1, poziom krytyczny. Atakujący musi mieć dostęp sieciowy przez HTTP lub HTTPS do podatnego serwletu, ale nie potrzebuje konta ani interakcji użytkownika. Oznacza to, że zagrożone mogą być bezpośrednio dostępne z internetu warstwy WWW EBS; dostęp do systemu wewnętrznego może też uzyskać ktoś, kto dotrze do serwletu z przejętego hosta lub dostępnego segmentu sieci. Szczegóły techniczne Horizon3.ai.
Jakie skutki może mieć wykorzystanie luki
Opisana przez Horizon3.ai ścieżka pozwala wykonywać zapytania SQL jako użytkownik bazy danych APPS, a następnie uruchamiać polecenia systemu operacyjnego jako konto aplikacyjne EBS. Możliwy zakres dostępu zależy od konfiguracji wdrożenia i uprawnień tego konta. Wśród potencjalnie dostępnych danych Horizon3.ai wymienia dokumenty finansowe, kadrowe, płacowe i zakupowe.
Jak ograniczyć ryzyko
Priorytetem jest instalacja właściwej poprawki z październikowego CPU Oracle. Oracle udostępnia poprawki CPU dla wersji objętych Premier Support lub Extended Support. Firma zaznacza też, że podatne mogą być wcześniejsze wydania i zaleca przejście na wersje objęte wsparciem.
Do czasu instalacji poprawki Horizon3.ai zaleca usunięcie /OA_HTML/AppsTCFServer z listy dozwolonych w zaporze URL EBS, ograniczenie dostępu do warstwy WWW do zaufanych sieci oraz monitorowanie hosta aplikacyjnego i bazy danych. Te działania ograniczają ekspozycję, ale nie zastępują poprawki. Oracle ostrzega, że tymczasowe obejścia mogą zakłócić działanie aplikacji, dlatego należy je przetestować poza środowiskiem produkcyjnym; nie są długoterminowym rozwiązaniem.
Jakie sygnały mogą pomóc w wykryciu aktywności
Horizon3.ai wymienia nieuwierzytelnione żądania POST do serwletu, które uruchamiają oracle.apps.jtf.gantt.server.GanttDataServer, a po nich aktywność bazy danych. Do sygnałów wskazanych w advisory należą również rozpoznanie SQL następujące po nieuwierzytelnionych żądaniach WWW, nieoczekiwane pliki w $APPLPTMP oraz uruchamianie /bin/sh przez konto oracle za pośrednictwem Concurrent Manager.
