Defused Cyber 27 октября зафиксировала на тестовых системах Oracle E-Business Suite (EBS) экспериментальные попытки эксплуатации CVE-2026-101767. По данным компании, злоумышленники также сканируют системы в поисках недавно исправленной уязвимости.
Что известно об уязвимости
CVE-2026-101767 затрагивает библиотеку Oracle Application Object Library в составе Oracle EBS и получила оценку CVSS 9,8. Oracle исправила проблему на прошлой неделе в рамках Critical Patch Update.
Об уязвимости Oracle уведомили 24 июля 2026 года исследователи Horizon3[.]ai Брэндон Петерсон, Джими Себри и Ноа Кинг. По их описанию, это неаутентифицированная SQL-инъекция в сервлете Thin Client Framework (TCF), которая может привести к удаленному выполнению кода. Для атаки необходим сетевой доступ к уязвимому сервлету.
Специально сформированный запрос к пути /OA_HTML/AppsTCFServer позволяет выполнить SQL-код с правами пользователя БД APPS. Затем атакующий может запускать команды операционной системы от имени учетной записи приложения EBS.
При успешной эксплуатации доступны чтение или изменение данных приложения, к которым имеет доступ APPS, а также выполнение команд на хосте приложения. В зависимости от конфигурации это могут быть финансовые отчеты, сведения о зарплате, кадровые записи и закупочная документация. Полномочия атакующего на уровне ОС при этом ограничены правами скомпрометированной учетной записи приложения EBS.
Наибольшему риску подвержены экземпляры EBS, опубликованные в интернете. Внутреннее размещение не исключает эксплуатацию: атака возможна с уже скомпрометированной системы либо из другого сегмента, откуда доступен уязвимый сервлет.
Признаки для мониторинга
При планировании таких работ можно отдельно изучить в разделе услуг ИТБ по информационной безопасности доступные направления и сопоставить их с задачами своей организации.
Horizon3[.]ai рекомендует проверять следующие признаки возможной компрометации:
- неаутентифицированные POST-запросы к
/OA_HTML/AppsTCFServer, создающие экземпляр класса сервера данных Gantt —oracle.apps.jtf.gantt.server.GanttDataServer, — с последующей активностью в серверной БД; - разведывательные SQL-запросы вскоре после неавторизованных веб-запросов, включая запросы версии БД, текущего пользователя и объектов каталога;
- неожиданные файлы в каталоге
$APPLPTMP; - запуск
/bin/shучетной записью oracle через Concurrent Manager для выполнения команд ОС.
Эти события следует сопоставлять с обращениями к указанному пути и активностью в БД, а не рассматривать изолированно. В приведенной информации они названы индикаторами, а не доказательством компрометации сами по себе.
Что сделать
Приоритетная мера — обновить Oracle EBS до версии с исправлением CVE-2026-101767. Если патч нельзя установить немедленно, Horizon3[.]ai предлагает временно исключить /OA_HTML/AppsTCFServer, связанный с oracle.apps.fnd.tcf.SocketServer, из списка адресов, разрешенных брандмауэром EBS.
Также рекомендуется ограничить доступ к веб-уровню EBS доверенными сетями и проверить хост приложения и БД на перечисленные признаки. Отдельного внимания требуют внешние публикации EBS: они дают возможность обратиться к уязвимому сервлету напрямую, тогда как для внутренних систем атакующему сначала потребуется доступ из подходящего сегмента или скомпрометированного узла.
Oracle EBS уже привлекала внимание атакующих. За последний год активно эксплуатировались две другие критические уязвимости продукта — CVE-2025-61882 и CVE-2026-46817, обе с CVSS 9,8. Первую из них применяла вымогательская группировка Cl0p.
Практический вывод: организациям с Oracle EBS следует проверить наличие исправления CVE-2026-101767, до установки патча ограничить доступ к TCF-сервлету и проанализировать журналы и хосты по указанным признакам. Наблюдения Defused Cyber относятся к экспериментальным атакам на тестовые системы; данных о подтвержденных компрометациях российских организаций в приведенной информации нет.