Oracle E-Business Suite под прицелом: попытки атак начались вскоре после исправления

Уязвимость CVE-2026-101767 в Oracle E-Business Suite (EBS) получила оценку 9,8 по шкале CVSS. Она затрагивает Oracle Application Object Library и сервлет Thin Client Framework (TCF). Ошибка аутентификации позволяет злоумышленнику с сетевым доступом отправить SQL-запросы без входа в систему, а затем попытаться выполнить код на сервере.

Oracle сообщила об исправлении в рамках Critical Patch Update «на прошлой неделе»; точная календарная дата обновления не указана. О проблеме компании сообщили 24 июля 2026 года исследователи Brandon Peterson, Jimi Sebree и Noah King из . По их оценке, уязвимость можно использовать для удалённого выполнения команд.
Первые разведывательные попытки заметила компания Defused Cyber: их приманки для Oracle EBS зафиксировали запросы к уязвимому компоненту. О наблюдениях сообщили в публикации на X 27 октября; год этой даты не уточняется. По данным фирмы, атаки направлены на TCF-сервлет и используют SQL-инъекцию как часть цепочки, ведущей к выполнению команд.
Для атаки нужен доступ к уязвимому адресу /OA_HTML/AppsTCFServer. Через специально сформированный запрос можно выполнить SQL с правами пользователя базы данных APPS. Затем злоумышленник может попытаться запустить команды операционной системы с правами учётной записи приложения EBS. Доступ к системе в таком случае ограничен разрешениями этой учётной записи.
Успешная эксплуатация может открыть доступ к данным, которыми вправе оперировать APPS: в зависимости от конфигурации это финансовые сведения, данные о зарплатах, кадровые записи и информация о закупках. Команды на сервере дают атакующему дополнительные возможности, но сами по себе не означают неограниченного контроля над операционной системой.
Наибольшему риску подвержены EBS-системы, доступные из интернета. Внутреннее размещение не гарантирует защиты: уязвимым сервлетом может воспользоваться злоумышленник, проникший в сеть через заражённый компьютер или другой доступный сегмент. Oracle EBS следует обновить до последней версии, а доступ к веб-уровню системы ограничить доверенными сетями.
рекомендует следить за приложением и базой данных, обращая внимание на такие признаки:

[]Неаутентифицированные POST-запросы к /OA_HTML/AppsTCFServer, связанные с созданием класса Gantt data-server oracle.apps.jtf.gantt.server.SQL. Описание этого индикатора в исходных данных выглядит неполным.
[]SQL-запросы вскоре после неаутентифицированных веб-запросов, особенно обращения к версии базы данных, текущему пользователю и объектам каталогов.
[]Неожиданные файлы в каталоге $APPLPTMP.
[]Запуск /bin/sh учётной записью oracle через Concurrent Manager для выполнения команд операционной системы.

В перечне мер защиты также приведена фраза: «apps.fnd.tcf.SocketServer, из списка разрешённых адресов EBS URL firewall». Она выглядит оборванной, поэтому точную рекомендацию по настройке этого компонента определить нельзя.
Oracle EBS и прежде привлекала атакующих. За последний год в той же системе, согласно имеющимся данным, активно эксплуатировали ещё две критические уязвимости: CVE-2025-61882 и CVE-2026-46817. Для обеих указана оценка CVSS 9,8. CVE-2025-61882 использовала группировка Cl0p, занимающаяся вымогательством и кибервымогательством.