Atacatorii testează o vulnerabilitate critică din Oracle E-Business Suite la câteva zile după patch

Administratorii Oracle E-Business Suite (EBS) au o fereastră scurtă de reacție. O vulnerabilitate critică remediată în cel mai recent Critical Patch Update de la Oracle atrage deja încercări de exploatare: sisteme EBS momeală au înregistrat sondări neautentificate pe 27 octombrie, la nici o săptămână după publicarea corecției.

Ce s-a întâmplat

Vulnerabilitatea este urmărită ca CVE-2026-101767 și are un scor CVSS de 9,8. Se află în componenta Oracle Application Object Library din EBS, mai exact în servlet-ul Thin Client Framework (TCF) expus la calea /OA_HTML/AppsTCFServer. Un atacator de la distanță care poate ajunge la acest servlet, fără niciun fel de credențiale, poate injecta cod SQL executat cu privilegiile utilizatorului de bază de date APPS. De acolo, lanțul continuă până la executarea de comenzi de sistem de operare sub contul aplicației EBS.

Vulnerabilitatea a fost raportată confidențial către Oracle la sfârșitul lunii iulie 2026 și a fost închisă în Critical Patch Update din octombrie. În câteva zile, telemetria de tip honeypot a arătat încercări exploratorii de exploatare. În acest moment, activitatea pare mai degrabă recunoaștere și testare decât o campanie confirmată de compromitere în masă, dar tiparul este cunoscut: EBS a fost lovit în ultimul an de alte două vulnerabilități critice exploatate activ, CVE-2025-61882 și CVE-2026-46817, prima dintre ele fiind folosită de gruparea de extorcare Cl0p.

De ce contează

În multe organizații mari, EBS este sistemul de referință pentru datele financiare, de salarizare, HR, achiziții și lanț de aprovizionare. Schema APPS conține practic tot. Un atacator care obține execuție SQL ca APPS poate citi sau modifica aceste date, iar execuția de comenzi sub contul aplicației deschide calea către persistență, mișcare laterală și extorcare.

Nivelurile web EBS expuse în internet sunt primele ținte evidente. Nici instalările strict interne nu sunt sigure implicit: cineva care a compromis deja o stație de lucru sau un alt segment de rețea cu acces la nivelul web poate folosi același servlet.

Ce este de făcut

Aplicați patch-ul acum. Instalați Critical Patch Update din octombrie 2026 pe toate mediile EBS, inclusiv pe instanțele de test și de disaster recovery care oglindesc producția.
Dacă nu puteți aplica patch-ul imediat, blocați servlet-ul. Eliminați /OA_HTML/AppsTCFServer (intrarea oracle.apps.fnd.tcf.SocketServer) din lista de URL-uri permise a firewall-ului EBS.
Reduceți expunerea. Restricționați accesul la nivelul web EBS la rețele de încredere și la intervalele VPN. Nu ar trebui să fie accesibil din internetul public.
Căutați semne de compromitere. Urmăriți:
- cereri POST neautentificate către /OA_HTML/AppsTCFServer care instanțiază clasa oracle.apps.jtf.gantt.server.GanttDataServer, urmate de activitate în baza de date;
- recunoaștere SQL imediat după cereri web neautentificate (versiunea bazei de date, utilizatorul curent, obiecte directory);
- fișiere neașteptate în $APPLPTMP;
- contul oracle care lansează /bin/sh prin Concurrent Manager.
Verificați din exterior. Confirmați că servlet-ul nu mai este accesibil și că nivelul de patch este într-adevăr cel pe care îl credeți.

Platformele ERP precum EBS sunt actualizate în cicluri lente, iar intervalul dintre un Critical Patch Update și primele încercări de exploatare se măsoară acum în zile. Serviciul nostru de scanare de vulnerabilități verifică permanent gazdele expuse pentru patch-uri lipsă și endpoint-uri cu risc ridicat accesibile, precum acesta, astfel încât o vulnerabilitate ca CVE-2026-101767 este semnalată înainte ca un atacator să o găsească.