Критична вразливість CVE-2026-101767 в Oracle E-Business Suite — ланцюжок від SQL injection до виконання команд ОС

Oracle усунула критичну вразливість CVE-2026-101767 (CVSS 9.8) у компоненті Oracle Application Object Library продукту Oracle E-Business Suite у межах жовтневого Critical Patch Update 2026. Вразливість являє собою неавтентифіковану SQL injection, яка, за даними дослідників Horizon3.ai, може бути об’єднана в ланцюжок для досягнення віддаленого виконання коду. Уразливі версії EBS з 12.2.3 по 12.2.15 включно. Організаціям, які використовують Oracle E-Business Suite з веб-рівнем, доступним із мережі, необхідно застосувати патч або негайно обмежити доступ до вразливого сервлета.

Технічні деталі вразливості

Згідно з матрицею ризиків Oracle, CVE-2026-101767 має максимально критичний профіль: вектор атаки — мережевий (HTTP/HTTPS), складність експлуатації — низька, автентифікація та взаємодія користувача не потрібні. Вплив на конфіденційність, цілісність і доступність оцінено як високий.

За даними дослідження Horizon3.ai, вразливість знаходиться в сервлеті Thin Client Framework (TCF), доступному за шляхом /OA_HTML/AppsTCFServer і реалізованому класом oracle.apps.fnd.tcf.SocketServer. Зловмисник, який має мережевий доступ до цього ендпойнту, може виконувати SQL-запити з привілеями користувача бази даних APPS, а потім — команди операційної системи з правами облікового запису застосунку EBS.

Успішна експлуатація дає змогу читати й модифікувати дані, доступні користувачу APPS. Залежно від конкретного розгортання, за оцінкою Horizon3.ai, під загрозою можуть опинитися фінансові записи, дані про заробітні плати, кадрова та закупівельна інформація. Рівень доступу до операційної системи визначається правами скомпрометованого облікового запису застосунку EBS.

Вразливість була виявлена дослідниками Брендоном Пітерсоном, Джимі Себрі та Ноа Кінгом з Horizon3.ai і, за їхніми даними, передана Oracle 24 липня 2026 року. Патч випущено 20 жовтня 2026 року.

Масштаб загрози та контекст

Найбільшому ризику піддаються розгортання EBS з веб-рівнем, доступним з інтернету. Втім, як зазначає Horizon3.ai, внутрішні системи EBS також уразливі, якщо зловмисник може дістатися до сервлета TCF із уже скомпрометованого хоста або з доступного сегмента мережі. Це розширює поверхню атаки за межі периметра — достатньо однієї точки входу до внутрішньої мережі.

На момент публікації CVE-2026-101767 не внесена до каталогу CISA Known Exploited Vulnerabilities (KEV). Водночас дві інші критичні вразливості Oracle EBS — CVE-2025-61882 та CVE-2026-46817 (обидві з CVSS 9.8) — уже перебувають у каталозі KEV, що підтверджує їхню активну експлуатацію. Згідно з бюлетенем Oracle, CVE-2025-61882 також є неавтентифікованою вразливістю віддаленого виконання коду, яка зачіпає версії 12.2.3–12.2.14. CVE-2026-46817 зачіпає компонент Oracle Payments (File Transmission) у версіях 12.2.3–12.2.15, згідно з травневим оновленням Oracle.

Продукти Oracle неодноразово ставали мішенню для атак — ми вже писали про підтверджену CISA експлуатацію вразливості в Oracle WebLogic. Поява третьої критичної вразливості в EBS за рік підкреслює системний характер ризиків для цієї продуктової лінійки.

Індикатори компрометації

Horizon3.ai опублікувала такі індикатори, на які варто звернути увагу під час моніторингу:

• Неавтентифіковані POST-запити до /OA_HTML/AppsTCFServer, які інстанціюють клас oracle.apps.jtf.gantt.server.GanttDataServer, з подальшою активністю в базі даних
• SQL-розвідка невдовзі після неавтентифікованих веб-запитів (запити версії БД, поточного користувача, об’єктів каталогів)
• Неочікувані файли в каталозі $APPLPTMP і породження процесу /bin/sh обліковим записом oracle через Concurrent Manager для виконання команд ОС

Рекомендації щодо захисту

Пріоритетна дія — застосування патча з жовтневого Critical Patch Update Oracle 2026. Якщо негайне встановлення патча неможливе, Horizon3.ai рекомендує такі тимчасові заходи:

1. Видалити/OA_HTML/AppsTCFServer (пов’язаний з oracle.apps.fnd.tcf.SocketServer) зі списку дозволених URL у файрволі EBS
2. Обмежити доступ до веб-рівня EBS лише довіреними мережами
3. Організувати моніторинг хоста застосунку EBS і бази даних на ознаки компрометації, використовуючи описані вище індикатори

Horizon3.ai наголошує, що ці заходи знижують ризик, але не замінюють встановлення патча.

З огляду на те, що дві попередні критичні вразливості EBS уже підтверджені як активно експлуатовані й внесені до каталогу CISA KEV, вікно для безпечного відкладання патча CVE-2026-101767 вкрай вузьке. Організаціям із розгортаннями Oracle EBS версій 12.2.3–12.2.15 слід розглядати встановлення жовтневого оновлення як завдання з найвищим пріоритетом, а до його застосування — негайно заблокувати доступ до сервлета /OA_HTML/AppsTCFServer з усіх недовірених мережевих сегментів.