Oracle устранила критическую уязвимость CVE-2026-101767 (CVSS 9.8) в компоненте Oracle Application Object Library продукта Oracle E-Business Suite в рамках октябрьского Critical Patch Update 2026. Уязвимость представляет собой неаутентифицированную SQL-инъекцию, которая, по данным исследователей Horizon3.ai, может быть объединена в цепочку для достижения удалённого выполнения кода. Затронуты версии EBS с 12.2.3 по 12.2.15 включительно. Организациям, использующим Oracle E-Business Suite с доступным из сети веб-уровнем, необходимо применить патч или немедленно ограничить доступ к уязвимому сервлету.
Технические детали уязвимости
Согласно матрице рисков Oracle, CVE-2026-101767 имеет максимально критичный профиль: вектор атаки — сетевой (HTTP/HTTPS), сложность эксплуатации — низкая, аутентификация и взаимодействие пользователя не требуются. Воздействие на конфиденциальность, целостность и доступность оценено как высокое.
По данным исследования Horizon3.ai, уязвимость находится в сервлете Thin Client Framework (TCF), доступном по пути /OA_HTML/AppsTCFServer и реализованном классом oracle.apps.fnd.tcf.SocketServer. Атакующий, имеющий сетевой доступ к этому эндпоинту, может выполнить SQL-запросы с привилегиями пользователя базы данных APPS, а затем — команды операционной системы с правами учётной записи приложения EBS.
Успешная эксплуатация позволяет читать и модифицировать данные, доступные пользователю APPS. В зависимости от конкретного развёртывания, по оценке Horizon3.ai, под угрозой могут оказаться финансовые записи, данные о зарплатах, кадровая и закупочная информация. Уровень доступа к операционной системе определяется правами скомпрометированной учётной записи приложения EBS.
Уязвимость была обнаружена исследователями Брэндоном Петерсоном, Джими Себри и Ноа Кингом из Horizon3.ai и, по их данным, передана Oracle 24 июля 2026 года. Патч выпущен 20 октября 2026 года.
Масштаб угрозы и контекст
Наибольшему риску подвержены развёртывания EBS с веб-уровнем, доступным из интернета. Однако, как отмечает Horizon3.ai, внутренние системы EBS также уязвимы, если атакующий может достичь сервлета TCF с уже скомпрометированного хоста или из доступного сегмента сети. Это расширяет поверхность атаки за пределы периметра — достаточно одной точки входа во внутреннюю сеть.
На момент публикации CVE-2026-101767 не внесена в каталог CISA Known Exploited Vulnerabilities (KEV). При этом две другие критические уязвимости Oracle EBS — CVE-2025-61882 и CVE-2026-46817 (обе с CVSS 9.8) — уже находятся в каталоге KEV, что подтверждает их активную эксплуатацию. Согласно бюллетеню Oracle, CVE-2025-61882 также является неаутентифицированной уязвимостью удалённого выполнения кода, затрагивающей версии 12.2.3–12.2.14. CVE-2026-46817 затрагивает компонент Oracle Payments (File Transmission) в версиях 12.2.3–12.2.15, согласно майскому обновлению Oracle.
Продукты Oracle неоднократно становились мишенью для атак — мы уже писали о подтверждённой CISA эксплуатации уязвимости в Oracle WebLogic. Появление третьей критической уязвимости в EBS за год подчёркивает системный характер рисков для этой продуктовой линейки.
Индикаторы компрометации
Horizon3.ai опубликовала следующие индикаторы, на которые стоит обратить внимание при мониторинге:
- Неаутентифицированные POST-запросы к
/OA_HTML/AppsTCFServer, инстанцирующие классoracle.apps.jtf.gantt.server.GanttDataServer, с последующей активностью в базе данных - SQL-разведка вскоре после неаутентифицированных веб-запросов (запросы версии БД, текущего пользователя, объектов каталогов)
- Неожиданные файлы в каталоге
$APPLPTMPи порождение процесса/bin/shучётной записью oracle через Concurrent Manager для выполнения команд ОС
Рекомендации по защите
Приоритетное действие — применение патча из октябрьского Critical Patch Update Oracle 2026. Если немедленная установка патча невозможна, Horizon3.ai рекомендует следующие временные меры:
- Удалить
/OA_HTML/AppsTCFServer(связанный сoracle.apps.fnd.tcf.SocketServer) из списка разрешённых URL в файрволе EBS - Ограничить доступ к веб-уровню EBS только доверенными сетями
- Организовать мониторинг хоста приложения EBS и базы данных на признаки компрометации, используя описанные выше индикаторы
Horizon3.ai подчёркивает, что эти меры снижают риск, но не заменяют установку патча.
Учитывая, что две предыдущие критические уязвимости EBS уже подтверждены как активно эксплуатируемые и внесены в каталог CISA KEV, окно для безопасного откладывания патча CVE-2026-101767 крайне мало. Организациям с развёртываниями Oracle EBS версий 12.2.3–12.2.15 следует рассматривать установку октябрьского обновления как задачу с наивысшим приоритетом, а до его применения — немедленно заблокировать доступ к сервлету /OA_HTML/AppsTCFServer со всех недоверенных сетевых сегментов.
