Хакери започнаха да тестват критична уязвимост в Oracle E-Business Suite, която им позволява да изпълняват команди без удостоверяване. Компанията за разузнаване на заплахи Defused съобщи за опити за проучвателно експлоатиране срещу нейни системи-примамки на 27 октомври 2026 г.

Тези наблюдения обаче не потвърждават успешни атаки срещу клиентски системи, а Oracle вече беше предоставила корекция за сигурност преди засичането на активността.

Проследяван като CVE-2026-101767, дефектът е с критичен CVSS рейтинг от 9.8. Horizon3.ai откри проблема и го докладва на Oracle на 24 юли. Oracle отстрани уязвимостта на 20 октомври чрез своето тримесечно обновяване на сигурността за октомври (Critical Patch Update). Въпреки че първоначално е докладвана поверително като уязвимост от тип нулев ден, тя вече е била публично оповестена и коригирана уязвимост, когато Defused засича сондиранията.

Zero-day уязвимост в Oracle EBS

Уязвимостта засяга компонента Core на Oracle Application Object Library във версии на EBS от 12.2.3 до 12.2.15. Тя изисква мрежов достъп през HTTP или HTTPS, но не изисква валидни идентификационни данни или взаимодействие с потребител. Cyber Security News по-рано отрази проблема в доклада си за октомврийското обновяване на сигурността от Oracle.

Според техническия бюлетин на Horizon3.ai уязвимият сървлет Thin Client Framework е достъпен на /OA_HTML/AppsTCFServer. Специално манипулирана заявка може да предизвика SQL инжекция, позволявайки на атакуващия да изпраща команди към базата данни от името на привилегирования системен потребител APPS. Този достъп след това може да бъде навързан във верига до изпълнение на команди на ниво операционна система под правата на акаунта на приложението EBS.

Въздействието се простира отвъд достъпа до базата данни. Успешната експлоатация би могла да разкрие или промени финансови записи, данни за работни заплати, човешки ресурси и поръчки, достъпни за APPS. Командите се изпълняват с разрешенията на акаунта на приложението, вместо автоматично да предоставят пълен административен контрол над хоста.

Defused описва трафика от 27 октомври като „проучвателни експлойти“ срещу нейните Oracle EBS примамки. Според докладите все още няма други публични данни за експлоатация. Това подкрепя съобщенията за активни опити за експлоатация, но не и за потвърдени пробиви, откраднати данни или мащабна кампания.

Разграничението е съществено, тъй като Oracle EBS вече е понасял опустошителни атаки в миналото. Cyber Security News документира как групата Cl0p експлоатираше отделна zero-day уязвимост в Oracle EBS (CVE-2025-61882). Тази предишна кампания не бива да се бърка с новонаблюдаваните сондирания на TCF сървлета.

Администраторите трябва незабавно да инсталират съответните октомврийски корекции за сигурност. Дотогава Horizon3.ai препоръчва премахването на сървлета от списъка с позволени адреси на защитната стена за URL адреси на EBS (URL firewall allowlist) и ограничаването на уеб достъпа само до доверени мрежи. По подразбиране защитната стена за URL адреси разрешава крайната точка, което прави проверката на конфигурацията особено важна.

Специалистите по защита трябва да анализират неавтентикирани POST заявки, извикващи GanttDataServer, особено когато са последвани от заявки към базата данни. Други предупредителни признаци включват неочаквани файлове в $APPLPTMP и стартиране на /bin/sh от акаунта oracle чрез Concurrent Manager. Ограниченията за достъп намаляват излагането на риск, но не заместват прилагането на корекции за сигурност.