Ing. Calogero Bono
Oracle opublikowało 20 października 2026 roku swój Critical Patch Update, zawierający 1295 nowych łatek bezpieczeństwa. Kilka dni później, 27 października, firma threat intelligence Defused Cyber zgłosiła próby eksploatacji o charakterze rozpoznawczym wobec luki w Oracle E-Business Suite, CVE-2026-101767, z oceną CVSS 9.8. Ma to znaczenie dla każdego, kto zarządza systemem ERP Oracle, ponieważ zagrożone dane mogą dotyczyć księgowości, płac i zakupów. Jeśli nie zainstalowałeś jeszcze łatki, jesteś w najbardziej newralgicznym oknie czasowym.
Kilka terminów, zanim przejdziemy do faktów. CVE to kod, który jednoznacznie identyfikuje podatność. CVSS to skala od 0 do 10, mierząca jej wagę. RCE oznacza zdalne wykonanie kodu, czyli uruchomienie poleceń na cudzym serwerze. SQL injection to wstrzyknięcie instrukcji bazy danych do żądania webowego. EBS to Oracle E-Business Suite, pakiet oprogramowania do zarządzania przedsiębiorstwem.
Co Oracle opublikowało w październiku
Zgodnie z oficjalnym komunikatem Oracle, Critical Patch Update zawiera 1295 nowych łatek dla różnych rodzin produktów. Dla samych produktów bazodanowych wskazano 14 nowych, nie licząc poprawek dla komponentów stron trzecich. Spośród nich 4 podatności można wykorzystać zdalnie, bez uwierzytelnienia. W tabeli znajduje się na przykład luka OpenSSL w bazie danych o ocenie 9.8.
Oracle przypomina, że łatki są dostarczane wyłącznie dla wersji objętych Premier Support lub Extended Support. Wersje wycofane z supportu nie są nawet testowane. Firma pisze też, że regularnie otrzymuje zgłoszenia ataków na podatności, które już zostały załatane. W niektórych przypadkach napastnicy odnosili sukces, ponieważ klienci nie zainstalowali poprawek.
Jak działa luka CVE-2026-101767?
Chodzi o problem z uwierzytelnianiem w Application Object Library w EBS. Według The Hacker News badacze z Horizon3.ai, Brandon Peterson, Jimi Sebree i Noah King, zgłosili ją Oracle 24 lipca 2026 roku.
Łańcuch ataku
Horizon3.ai opisuje ją jako nieuwierzytelnioną SQL injection w servlecie Thin Client Framework, którą można łączyć aż do zdalnego wykonania kodu. Spreparowane żądanie wysłane na ścieżkę /OA_HTML/AppsTCFServer pozwala wykonać SQL z uprawnieniami użytkownika bazy danych APPS. Stamtąd można dotrzeć do poleceń systemu operacyjnego z uprawnieniami konta aplikacyjnego EBS.
Jakie dane są zagrożone
Horizon3.ai ostrzega, że w zależności od instalacji mogą zostać objęte zapisy finansowe, płace, dane kadrowe i zakupy. Najbardziej narażone są systemy wystawione na internet. Także systemy wewnętrzne mogą zostać dotknięte, jeśli napastnik dotrze do servletu z przejętej maszyny lub z innego segmentu sieci.
Kto szuka podatnych systemów?
Defused Cyber podało, że jego systemy-przynęty zarejestrowały próby eksploatacji o charakterze rozpoznawczym wobec CVE-2026-101767 27 października. BleepingComputer precyzuje, że Oracle nie oznaczyło jeszcze tej luki jako aktywnie wykorzystywanej. Shadowserver śledzi ponad 670 wystawionych instancji EBS, głównie z adresami w USA, ale nie podaje, ile z nich to przynęty, a ile jest już zabezpieczonych.
Kontekst ma znaczenie. Źródła przypominają, że CVE-2025-61882 wykorzystała grupa wymuszeniowa Clop, a inna luka w PeopleSoft została użyta przez ShinyHunters. Według BleepingComputer od listopada 2021 roku CISA dodała 46 błędów Oracle do listy aktywnie wykorzystywanych, z czego 13 było też używanych w atakach ransomware.
Co zrobić, jeśli nie możesz zaktualizować od razu
Aktualizacje pozostają pierwszą odpowiedzią. Jeśli nie jest to możliwe, The Hacker News podaje następujące środki zaradcze.
- Usuń /OA_HTML/AppsTCFServer z listy dozwolonych firewalla URL EBS.
- Ogranicz dostęp do warstwy webowej EBS do zaufanych sieci.
- Monitoruj host aplikacji i bazę danych pod kątem sygnałów kompromitacji.
Horizon3.ai podaje także wskaźniki kompromitacji. Są to nieuwierzytelnione żądania POST do /OA_HTML/AppsTCFServer, zaraz po nich rozpoznanie SQL, nieoczekiwane pliki w $APPLPTMP oraz konto oracle uruchamiające /bin/sh przez Concurrent Manager. Oracle ostrzega, że blokowanie protokołów lub odbieranie uprawnień może zepsuć funkcje aplikacji, dlatego najpierw trzeba to przetestować na systemach nieprodukcyjnych.
Ograniczenia, o których warto wiedzieć
Nie ma potwierdzenia aktywnego wykorzystania tej luki ze strony Oracle. Defused mówi o próbach rozpoznawczych na systemach-przynętach, a nie o udanych włamaniach. Nie wiemy, ile wystawionych instancji nadal jest podatnych, ponieważ Shadowserver tego nie rozróżnia. Tabela Oracle, do której mamy dostęp, jest ucięta, więc nie możemy podać wszystkich podatności z tego cyklu. Sytuacja może szybko się zmienić, zwłaszcza jeśli pojawi się publiczny kod exploita.
Co się zmienia dla osób pracujących w świecie cyfrowym
Jeśli Twoja firma lub firma klienta korzysta z EBS, łatka nie jest już czymś do zaplanowania na później, tylko czymś do zrobienia. Od publikacji poprawki do pierwszych skanów minął tydzień. Sprawdź, czy servlet jest dostępny z internetu i kto może się do niego dostać z sieci wewnętrznej.
Osoby tworzące integracje z EBS powinny odtworzyć inwentarz instancji i wersji. Ten, kto zarządza serwerami dla innych, musi wiedzieć, które systemy są wycofane z supportu, bo dla nich łatki nie będą wydawane. Od strony organizacyjnej hosting z zarządzanymi aktualizacjami bezpieczeństwa może zdjąć z firmy część tego wyścigu. Temat automatyzacji wyszukiwania luk przez atakujących omówiliśmy już, pisząc o autonomicznym hakerze AI i małych i średnich firmach we Włoszech.
Nasze zdanie
Nie sama luka jest tu najważniejsza, lecz tempo. Tydzień od łatki do pierwszych sond oznacza, że kwartalny kalendarz wielu firm jest za wolny dla oprogramowania wystawionego na zewnątrz. Oracle słusznie nalega, by instalować poprawki bez zwłoki, ale avviso z 1295 poprawkami jest trudne do przetrawienia dla małej firmy z jednym administratorem.
Mamy tu jedną krytyczną uwagę. Centralne systemy zarządzania, pełne danych o płacach i dostawcach, często pozostają dostępne z zbyt szerokich sieci, bo nikt nie chce ich ruszać. Ograniczenie powierzchni ataku kosztuje mniej niż jakikolwiek incydent. Ci, którzy nie mają wewnętrznego zespołu, powinni traktować bezpieczeństwo oprogramowania w firmie jako proces ciągły, a nie jednorazową interwencję.
Najczęstsze pytania
Czy CVE-2026-101767 jest już aktywnie wykorzystywana?
Nie ma oficjalnego potwierdzenia. Oracle nie oznaczyło jej jeszcze jako wykorzystywanej, ale Defused Cyber zarejestrowało próby rozpoznawcze 27 października na swoich systemach-przynętach.
Jak poważna jest ta luka?
Ma ocenę CVSS 9.8. Według BleepingComputer pozwala nieuwierzytelnionemu napastnikowi z dostępem HTTP przejąć kontrolę nad systemem atakami o niskiej złożoności.
Jakie systemy są objęte problemem?
Oracle E-Business Suite, w szczególności Application Object Library i servlet Thin Client Framework. Dostępne źródła nie podają tutaj listy wersji, więc sprawdź komunikat Oracle.
Co mogę zrobić, jeśli nie mogę zainstalować łatki?
Usuń ścieżkę /OA_HTML/AppsTCFServer z listy dozwolonych firewalla i ogranicz dostęp do warstwy webowej do zaufanych sieci. Monitoruj hosty i bazę danych. Każdą zmianę testuj najpierw na środowisku nieprodukcyjnym.
Czy systemy wewnętrzne też są zagrożone?
Tak. Według The Hacker News system wewnętrzny może zostać zaatakowany, jeśli napastnik dotrze do servletu z przejętej maszyny lub z innego segmentu sieci.
Trzy kroki na najbliższe tygodnie
W najbliższych miesiącach obserwuj, czy Oracle i CISA zakwalifikują tę lukę jako aktywnie wykorzystywaną oraz czy pojawią się publiczne exploity. Na razie zacznij od tego.
- Zainstaluj Critical Patch Update z października na instancjach EBS, zaczynając od tych wystawionych na zewnątrz.
- Sprawdź w logach żądania kierowane do /OA_HTML/AppsTCFServer oraz wskaźniki Horizon3.ai.
- Sporządź listę wersji wycofanych z supportu i zaplanuj aktualizację.
