Krytyczna luka w Oracle E-Business Suite (CVE-2026-101767) - już skanują pod atak

20 października Oracle wydał comiesięczną zbiorczą poprawkę (Critical Patch Update) dla Oracle E-Business Suite, w której załatał lukę CVE-2026-101767. To krytyczne wstrzyknięcie SQL (SQL injection) w module Thin Client Framework, dostępne bez żadnego logowania i prowadzące do wykonania poleceń na serwerze. Ocena w skali CVSS 3.1: 9,8 z 10. 27 października firma badawcza Defused Cyber zarejestrowała na swoich systemach-wabikach pierwsze próby wykorzystania luki - na razie to rozpoznanie, nie potwierdzone włamania, ale szczegóły techniczne są już publiczne, więc realny atak jest kwestią czasu.

Czym jest Oracle E-Business Suite i kogo to dotyczy

Oracle E-Business Suite (EBS) to system klasy ERP - ogarnia finanse, księgowość, kadry i płace, zakupy oraz łańcuch dostaw w jednym miejscu. Używają go głównie średnie i duże firmy oraz instytucje, dla których to jeden z najważniejszych systemów w organizacji - stąd dane, które przez niego przechodzą, są wyjątkowo atrakcyjnym celem: dane finansowe, listy płac, dane pracowników, umowy z dostawcami.

Firma monitorująca internet Shadowserver naliczyła ponad 670 instancji EBS dostępnych publicznie z sieci, w większości w Stanach Zjednoczonych - ale to tylko te widoczne z zewnątrz. Realna liczba organizacji korzystających z EBS, które mają choć częściowy dostęp z internetu (portal dla dostawców, integracja z inną usługą, VPN z błędną konfiguracją), jest prawdopodobnie znacznie wyższa.

Co pozwala zrobić ta luka

Techniczny mechanizm: błąd siedzi w serwlecie Thin Client Framework (/OA_HTML/AppsTCFServer). Atakujący, bez żadnego uwierzytelnienia, wysyła spreparowane żądanie, które pozwala wykonać zapytanie SQL z uprawnieniami konta bazodanowego APPS - czyli konta, które w EBS ma dostęp praktycznie do wszystkiego. Z tego poziomu da się pójść dalej i wykonać polecenia systemowe z uprawnieniami konta aplikacyjnego EBS. W praktyce: pełne odczytanie bazy i przejęcie serwera, na którym działa EBS, bez logowania się choćby jednym poprawnym kontem.

Co zrobić teraz

1. Sprawdź wersję i nałóż październikowy Critical Patch Update. Dotyczy wersji EBS 12.2.3-12.2.15. Oracle rekomenduje instalację bez zwłoki - to jedyny pełny sposób usunięcia luki, nie ma oficjalnego obejścia zastępującego łatkę.
2. Zweryfikuj, czy EBS jest w ogóle dostępny z internetu - bezpośrednio albo przez VPN, portal dla dostawców czy inną integrację. Jeśli środowisko nie musi być publicznie dostępne, ogranicz dostęp do sieci wewnętrznej lub zaufanych adresów IP, zanim łatka zostanie w pełni wdrożona.
3. Przejrzyj logi serwera aplikacyjnego pod kątem nietypowych żądań do /OA_HTML/AppsTCFServer, zwłaszcza z 27 października i później - to data pierwszych odnotowanych prób skanowania.
4. Jeśli masz integratora albo firmę obsługującą EBS, potwierdź wprost, że CPU z października został wdrożony na produkcji, nie tylko w środowisku testowym.

Dlaczego warto zareagować teraz, nie "w najbliższym oknie serwisowym"

Systemy ERP rzadko są łatane od razu - zmiana wymaga planowania, testów integracji, czasem przestoju. To właśnie z tego powodu stają się atrakcyjnym celem: od publikacji łatki do faktycznego wdrożenia mija w wielu organizacjach kilka tygodni, a czasem miesięcy. Atakujący to wiedzą i właśnie w tym oknie czasowym próbują najwięcej. Tu okno jest już otwarte - łatka jest dostępna od ponad tygodnia, a próby skanowania zaczęły się, zanim większość firm zdążyła ją wdrożyć.

Jeśli nie wiesz, czy Twoja organizacja korzysta z EBS, czy jest on dostępny z internetu i czy październikowa poprawka już tam jest - to dobry moment, żeby to ustalić, zamiast zakładać, że "ktoś inny to pewnie już sprawdził".

Źródła

Opracowano na podstawie analizy Help Net Security, technicznego opisu Horizon3.ai oraz doniesień branżowych o próbach skanowania i poprzedniej masowej kampanii wymierzonej w Oracle E-Business Suite. Szczegóły mogą być jeszcze aktualizowane w miarę rozwoju sytuacji.