У критической дыры в Oracle E-Business Suite нашлись желающие проверить защиту почти сразу после выхода исправления. Компания Defused зафиксировала 27 октября разведочные попытки эксплуатации на приманках EBS. Наблюдение появилось всего через семь дней после октябрьского патча Oracle.
Целью стала критическая CVE-2026-101767 с оценкой 9,8 балла по CVSS 3.1. Ошибка находится в основном компоненте Oracle Application Object Library и затрагивает E-Business Suite версий 12.2.3–12.2.15. Для атаки достаточно сетевого доступа по HTTP или HTTPS, учётная запись и действия пользователя не требуются.
Horizon3.ai, обнаружившая проблему, раскрыла цепочку атаки после выхода патча. SQL-инъекция находится в сервлете Thin Client Framework по адресу /OA_HTML/AppsTCFServer. Опасность усиливает конфигурация по умолчанию: URL-фильтр EBS разрешает обращения к уязвимой конечной точке.
Специально сформированный запрос позволяет выполнять SQL-команды с правами пользователя базы данных APPS. Затем цепочку можно продолжить до запуска команд операционной системы от имени учётной записи приложения EBS. В зависимости от настроек через APPS могут быть доступны финансовые, кадровые, зарплатные и закупочные данные, однако права на уровне ОС ограничены учётной записью EBS.
Defused назвала замеченную активность разведочной. Публичных подтверждений успешного взлома реальных организаций через CVE-2026-101767 на момент публикации нет. Ловушки лишь показывают, что механизм уже заинтересовал атакующих и началась проверка доступных EBS-систем. Такой статус отличается от подтверждённой эксплуатации и не доказывает кражу данных или закрепление в инфраструктуре.
Horizon3.ai передала сведения Oracle 24 июля, когда уязвимость ещё не имела исправления. Патч вышел 20 октября в составе Critical Patch Update. В том же октябрьском наборе Oracle закрыла 194 проблемы E-Business Suite, включая 31 ошибку, которую можно атаковать удалённо без аутентификации. Летом компания уже выпускала для продуктов Oracle крупный пакет исправлений.
Интерес к EBS не ограничивается новой ошибкой. В 2025 году другая уязвимость платформы использовалась для кражи корпоративных данных, а последствия кампании продолжали проявляться и в 2026-м. Один из подтверждённых эпизодов затронул Michelin, которая признала утечку данных после атаки на инфраструктуру Oracle E-Business Suite.
Для систем без патча Horizon3.ai советует убрать /OA_HTML/AppsTCFServer из списка разрешённых URL, ограничить доступ к веб-уровню EBS доверенными сетями и следить за необычной активностью приложения и базы данных. Среди признаков атаки названы POST-запросы к сервлету с GanttDataServer, SQL-разведка после запросов, неожиданные файлы в $APPLPTMP и запуск /bin/sh учётной записью oracle. Ограничения снижают риск, но не заменяют обновление.