Ing. Calogero Bono
Oracle ने 20 अक्टूबर 2026 को अपना Critical Patch Update जारी किया, जिसमें 1295 नए सुरक्षा पैच शामिल हैं। कुछ दिन बाद, 27 अक्टूबर को threat intelligence कंपनी Defused Cyber ने Oracle E-Business Suite की एक खामी, CVE-2026-101767, के खिलाफ खोजपूर्ण एक्सप्लॉइट प्रयासों की सूचना दी। इसका CVSS स्कोर 9.8 है। यह हर उस व्यक्ति के लिए मायने रखता है जो Oracle का enterprise ERP चलाता है, क्योंकि इसमें लेखा, वेतन और खरीद का डेटा हो सकता है। जिन्होंने अभी तक पैच नहीं लगाया है, वे सबसे नाज़ुक दौर में हैं।
तथ्यों में जाने से पहले कुछ शब्द। CVE वह कोड है जो किसी कमजोरी की विशिष्ट पहचान करता है। CVSS 0 से 10 तक का पैमाना है जो उसकी गंभीरता मापता है। RCE का मतलब है रिमोट कोड एक्जीक्यूशन, यानी किसी दूसरे के सर्वर पर कमांड चलाना। SQL injection वह तरीका है जिसमें वेब अनुरोध के भीतर डेटाबेस निर्देश डाले जाते हैं। EBS का मतलब है Oracle E-Business Suite, यानी एक व्यावसायिक प्रबंधन सूट।
Oracle ने अक्टूबर में क्या जारी किया
Oracle की आधिकारिक सुरक्षा सूचना के अनुसार, Critical Patch Update में विभिन्न उत्पाद परिवारों के लिए 1295 नए पैच हैं। केवल database उत्पादों के लिए 14 नए पैच हैं, साथ में तीसरे पक्ष के पैच भी। इनमें से 4 कमजोरियाँ बिना प्रमाणीकरण के दूर से इस्तेमाल की जा सकती हैं। तालिका में उदाहरण के तौर पर database में OpenSSL की 9.8 स्कोर वाली एक खामी दिखती है।
Oracle याद दिलाता है कि पैच केवल उन संस्करणों के लिए आते हैं जो Premier Support या Extended Support में हैं। सपोर्ट खत्म हो चुके संस्करणों का परीक्षण भी नहीं होता। कंपनी यह भी बताती है कि उसे उन कमजोरियों पर हमलों की नियमित रिपोर्टें मिलती हैं जो पहले ही ठीक की जा चुकी हैं। कुछ मामलों में हमलावर सफल हुए क्योंकि ग्राहकों ने पैच नहीं लगाए थे।
CVE-2026-101767 खामी कैसे काम करती है?
यह EBS के Application Object Library में प्रमाणीकरण से जुड़ी समस्या है। The Hacker News के अनुसार, शोधकर्ता Brandon Peterson, Jimi Sebree और Noah King (Horizon3.ai) ने इसकी सूचना 24 जुलाई 2026 को Oracle को दी थी।
हमले की श्रृंखला
Horizon3.ai इसे Thin Client Framework servlet में बिना प्रमाणीकरण वाली SQL injection बताती है, जो रिमोट कोड एक्जीक्यूशन तक जोड़ी जा सकती है। /OA_HTML/AppsTCFServer पथ पर विशेष रूप से तैयार किया गया अनुरोध APPS database उपयोगकर्ता के अधिकारों से SQL चला सकता है। इसके बाद EBS एप्लिकेशन खाते के अधिकारों से ऑपरेटिंग सिस्टम कमांड तक पहुँच बन जाती है।
कौन सा डेटा जोखिम में है
Horizon3.ai चेतावनी देती है कि इंस्टॉलेशन के अनुसार इसमें वित्तीय रिकॉर्ड, वेतन, मानव संसाधन और खरीद का डेटा शामिल हो सकता है। इंटरनेट पर खुले सिस्टम सबसे अधिक जोखिम में हैं। आंतरिक सिस्टम भी प्रभावित हो सकते हैं, अगर हमलावर किसी समझौता किए गए सिस्टम या किसी दूसरे नेटवर्क सेगमेंट से servlet तक पहुँच जाए।
कौन कमजोर सिस्टम खोज रहा है?
Defused Cyber ने बताया कि उसके decoy सिस्टमों ने 27 अक्टूबर को CVE-2026-101767 के खिलाफ खोजपूर्ण exploit दर्ज किए। BleepingComputer के अनुसार Oracle ने अभी इस खामी को सक्रिय रूप से शोषित चिह्नित नहीं किया है। Shadowserver 670 से अधिक खुले EBS इंस्टेंस दिखाता है, जो ज़्यादातर अमेरिकी पतों पर हैं, लेकिन यह नहीं बताता कि इनमें से कितने decoy हैं या पहले से सुरक्षित हैं।
संदर्भ भी मायने रखता है। स्रोत याद दिलाते हैं कि CVE-2025-61882 का इस्तेमाल Clop जबरन वसूली गिरोह ने किया था, और PeopleSoft की एक अन्य खामी का शोषण ShinyHunters ने किया था। BleepingComputer के अनुसार नवंबर 2021 से CISA ने 46 Oracle खामियों को सक्रिय रूप से शोषित सूची में डाला है, जिनमें से 13 का इस्तेमाल ransomware हमलों में भी हुआ है।
अगर अभी अपडेट नहीं कर सकते तो क्या करें
अपडेट ही पहला उपाय है। अगर यह संभव न हो, तो The Hacker News ये उपाय बताती है।
- EBS के URL firewall की allowlist से /OA_HTML/AppsTCFServer हटाएँ।
- EBS web tier तक पहुँच केवल भरोसेमंद नेटवर्क तक सीमित करें।
- एप्लिकेशन होस्ट और database पर समझौते के संकेतों की निगरानी करें।
Horizon3.ai समझौते के संकेतक (indicators of compromise) भी देती है। इनमें /OA_HTML/AppsTCFServer पर बिना प्रमाणीकरण वाले POST अनुरोध, उसके तुरंत बाद SQL टोह, $APPLPTMP में अनपेक्षित फ़ाइलें, और oracle खाते द्वारा Concurrent Manager से /bin/sh का शुरू होना शामिल हैं। Oracle चेतावनी देता है कि प्रोटोकॉल ब्लॉक करने या अधिकार हटाने से एप्लिकेशन के कार्य टूट सकते हैं, इसलिए पहले गैर-उत्पादन सिस्टम पर परीक्षण करें।
ध्यान रखने योग्य सीमाएँ
Oracle की ओर से सक्रिय शोषण की कोई पुष्टि नहीं है। Defused ने decoy सिस्टमों पर खोजपूर्ण प्रयासों की बात की है, सफल उल्लंघनों की नहीं। हम नहीं जानते कि कितने खुले इंस्टेंस अभी भी कमजोर हैं, क्योंकि Shadowserver इसमें फर्क नहीं करता। हमारे पास उपलब्ध Oracle की तालिका भी अधूरी है, इसलिए हम चक्र की सभी कमजोरियाँ नहीं बता सकते। सार्वजनिक exploit कोड आने पर स्थिति तेजी से बदल सकती है।
डिजिटल काम करने वालों के लिए क्या बदलता है
अगर आपकी कंपनी या आपके ग्राहक EBS इस्तेमाल करते हैं, तो पैच अब योजना बनाने की चीज़ नहीं, करने की चीज़ है। सुधार और पहली स्कैन के बीच केवल एक हफ्ते का समय था। जाँचें कि servlet इंटरनेट से पहुँचने योग्य है या नहीं, और आंतरिक नेटवर्क से कौन उस तक पहुँच सकता है।
जो EBS पर इंटीग्रेशन बनाते हैं, उन्हें इंस्टेंस और संस्करणों की सूची दोबारा बनानी चाहिए। जो दूसरों के सर्वर संभालते हैं, उन्हें पता होना चाहिए कि कौन से सिस्टम सपोर्ट से बाहर हैं, क्योंकि उनके लिए पैच नहीं आएँगे। संगठनात्मक स्तर पर, प्रबंधित सुरक्षा अपडेट वाली होस्टिंग कंपनी से इस दौड़ का कुछ हिस्सा हटा सकती है। स्वचालित रूप से खामियाँ खोजने वाले हमलावरों का विषय हम पहले ही स्वायत्त AI हैकर और इटली के छोटे व्यवसायों के संदर्भ में देख चुके हैं।
हमारी राय
असली खबर खामी नहीं, बल्कि रफ्तार है। पैच से पहली सोनार तक केवल एक हफ्ता लगना बताता है कि कई कंपनियों की तिमाही योजना बाहर से खुले सॉफ्टवेयर के लिए बहुत धीमी है। Oracle ठीक कहता है कि पैच बिना देरी के लगाने चाहिए, लेकिन 1295 सुधारों वाली सूचना एक छोटी कंपनी के अकेले सिस्टम एडमिन के लिए पचाना मुश्किल है।
हम एक बात पर आपत्ति जताते हैं। केंद्रीय प्रबंधन सिस्टम, जिनमें वेतन और आपूर्तिकर्ताओं का डेटा भरा होता है, अक्सर बहुत चौड़े नेटवर्क से पहुँच योग्य रहते हैं, क्योंकि कोई उन्हें छूना नहीं चाहता। खुली सतह कम करना किसी भी घटना से सस्ता पड़ता है। जिस कंपनी के पास आंतरिक टीम नहीं है, उसे कंपनी में सॉफ्टवेयर की सुरक्षा को एक बार का काम नहीं, बल्कि लगातार चलने वाली प्रक्रिया मानना चाहिए।
अक्सर पूछे जाने वाले प्रश्न
क्या CVE-2026-101767 पहले से सक्रिय रूप से इस्तेमाल हो रही है?
इसकी कोई आधिकारिक पुष्टि नहीं है। Oracle ने इसे अभी शोषित चिह्नित नहीं किया है, लेकिन Defused Cyber ने 27 अक्टूबर को अपने decoy सिस्टमों पर खोजपूर्ण प्रयास दर्ज किए।
यह खामी कितनी गंभीर है?
इसका CVSS स्कोर 9.8 है। BleepingComputer के अनुसार, HTTP पहुँच वाला बिना प्रमाणीकरण का हमलावर कम जटिलता वाले हमलों से सिस्टम पर नियंत्रण पा सकता है।
कौन से सिस्टम प्रभावित हैं?
Oracle E-Business Suite, खासकर Application Object Library और Thin Client Framework servlet। यहाँ दिए गए स्रोतों में प्रभावित संस्करणों की सूची नहीं है, इसलिए Oracle की सूचना जाँचें।
अगर मैं पैच नहीं लगा पाऊँ तो मैं क्या कर सकता हूँ?
Firewall की allowlist से /OA_HTML/AppsTCFServer पथ हटाएँ और web tier तक पहुँच भरोसेमंद नेटवर्क तक सीमित करें। होस्ट और database की निगरानी करें। हर बदलाव पहले गैर-उत्पादन वातावरण में आज़माएँ।
क्या आंतरिक सिस्टम भी जोखिम में हैं?
हाँ। The Hacker News के अनुसार, अगर हमलावर किसी समझौता किए गए कंप्यूटर या दूसरे नेटवर्क सेगमेंट से servlet तक पहुँच जाए, तो आंतरिक सिस्टम भी प्रभावित हो सकता है।
आने वाले हफ्तों के लिए तीन कदम
आने वाले महीनों में देखें कि Oracle और CISA इस खामी को सक्रिय रूप से शोषित घोषित करते हैं या नहीं, और कोई सार्वजनिक exploit सामने आता है या नहीं। तब तक इन कदमों से शुरुआत करें।
- EBS इंस्टेंस पर अक्टूबर का Critical Patch Update लगाएँ, खुले इंस्टेंस से शुरू करते हुए।
- लॉग में /OA_HTML/AppsTCFServer के अनुरोध और Horizon3.ai के संकेतक जाँचें।
- सपोर्ट से बाहर संस्करणों की सूची बनाएँ और उनके अपग्रेड की योजना बनाएँ।
