Oracle EBS CVE-2026-101767: SQLi fără autentificare, sondată
Pe 20 octombrie 2026, Oracle a corectat prin Critical Patch Update CVE-2026-101767, o injecție SQL fără autentificare în Oracle E-Business Suite (CVSS 9,8) care, potrivit Horizon3.ai, poate fi înlănțuită până la execuție de comenzi pe server. Pe 27 octombrie, firma Defused a înregistrat pe capcanele ei EBS „exploatări exploratorii” împotriva defectului, la o săptămână după patch.
În sursele citite nu există confirmarea unei compromiteri reale, iar defectul nu era în KEV în feed-ul CISA din 30 octombrie. Horizon3 a publicat traseul atacului și indicatori de detecție, iar sondarea a început la șapte zile după patch. Mai jos: ce este confirmat, ce nu și ce faci pe sistemele EBS.
Ce este confirmat
Horizon3.ai descrie o injecție SQL fără autentificare în servletul Thin Client Framework (TCF) din Oracle E-Business Suite, care poate fi înlănțuită până la execuție de cod: o cerere construită către /OA_HTML/AppsTCFServer rulează SQL cu drepturile utilizatorului de bază de date APPS, apoi comenzi de sistem cu drepturile contului aplicației EBS. Scorul CVSS 3.1 este 9,8 (AV:N/AC:L/PR:N/UI:N), iar versiunile afectate sunt 12.2.3 până la 12.2.15. Horizon3 a raportat defectul lui Oracle pe 24 iulie, iar Oracle a livrat corecția în CPU din 20 octombrie; pentru aplicabilitatea patch-urilor, Horizon3 trimite la nota My Oracle Support KA923.
Pagina Oracle a CPU-ului a răspuns cu 403 la citirea automată, deci versiunile și data vin din Horizon3 și din presă, iar Centrul Canadian pentru Securitate Cibernetică (AV26-1071) leagă CPU-ul din octombrie de o listă de produse Oracle care include E-Business Suite. Verifică versiunile și patch-urile în avizul Oracle înainte de a le aplica.
Ce spun sursele despre exploatare
Defused a raportat că pe 27 octombrie capcanele ei EBS au înregistrat „exploatări exploratorii” împotriva CVE-2026-101767 și că nu cunoștea un raport public anterior de încercare în mediul real. SecurityWeek scrie că nu există alte raportări de exploatare, iar articolul Help Net Security din 29 octombrie nu descrie compromiteri confirmate. Formularea diferă: Centrul Canadian notează, în actualizarea din 28 octombrie, că surse deschise indică exploatarea defectului în mediul real. Tratează situația ca sondare confirmată, nu ca breșe documentate.
CVE-2026-101767 nu figura în catalogul KEV în feed-ul CISA pe care l-am descărcat direct (versiunea din 30 octombrie). Contextul: Help Net Security amintește că Cl0p a exploatat CVE-2025-61882 ca zero-day în 2025, iar în iulie am analizat CVE-2026-46817, un defect Oracle Payments intrat în KEV.
Ce nu se știe
Nu am găsit atribuire, programe malițioase asociate sau cifre despre încercări. Nu se știe dacă există un exploit public: pagina Horizon3 nu spune, iar articolele citate nu îl menționează. Versiunile mai vechi decât 12.2.3 nu apar în sursele citite.
Ordinul de mărime al expunerii: potrivit Help Net Security, un aviz Censys din 28 octombrie a numărat 2.246 de proprietăți web EBS accesibile din Internet. Cifra numără separat fiecare nume de gazdă și port și nu arată câte sunt vulnerabile sau deja corectate.
Ce faci pe EBS
- ▸Inventariază instanțele EBS 12.2.x, mai ales pe cele accesibile din Internet, și versiunea exactă (12.2.3–12.2.15 sunt listate ca afectate).
- ▸Aplică CPU-ul din octombrie 2026 pentru E-Business Suite; verifică în avizul Oracle și în nota KA923 ce patch-uri se aplică versiunii tale și dacă CPU-urile pentru baza de date și middleware au dependențe.
- ▸Până la patch, Horizon3 și The Hacker News recomandă scoaterea servletului /OA_HTML/AppsTCFServer din lista de permisiuni a URL firewall-ului EBS și limitarea nivelului web la rețele de încredere. Horizon3 spune că aceste măsuri reduc expunerea, dar nu înlocuiesc patch-ul.
- ▸Dacă nivelul web EBS este accesibil din Internet și nu poți aplica patch-ul azi, izolează-l mai întâi: sondarea a început deja.
- ▸Caută urme de compromitere înainte de a închide tichetul (secțiunea următoare) și păstrează jurnalele web, ale bazei de date și ale gazdei aplicației înainte de reconstruire.
Ce cauți ca indicatori
- ▸Cereri POST fără autentificare către /OA_HTML/AppsTCFServer care instanțiază clasa serverului de date Gantt, urmate de activitate în baza de date.
- ▸Recunoaștere SQL la scurt timp după cereri web neautentificate: interogări despre versiunea bazei de date, utilizatorul curent și obiectele de tip director.
- ▸Fișiere neașteptate în $APPLPTMP.
- ▸Contul oracle care pornește /bin/sh prin Concurrent Manager.
Închide alerta cu dovezi
Pentru fiecare instanță EBS, păstrează versiunea înainte și după, patch-urile CPU aplicate și data, regula de URL firewall sau restricția de rețea folosită ca măsură temporară, rezultatul căutării de indicatori și excepțiile rămase, cu motiv și termen. Nu declara instanța curată doar pentru că nu apar indicatori: nu există garanția că lista Horizon3 este exhaustivă, iar jurnalele pe care le cauți trebuie să acopere cel puțin perioada de la 20 octombrie.
Patch-ul nu spune dacă ai fost vizat
Urmărește în Awarely Monitor instanțele EBS, versiunile și patch-urile CPU aplicate, plus dovezile căutării de indicatori. Patch-ul și investigația rămân în sistemele voastre.