Ing. Calogero Bono
Oracle выпустила 20 октября 2026 года свой Critical Patch Update с 1295 новыми патчами безопасности. Через несколько дней, 27 октября, компания threat intelligence Defused Cyber сообщила о разведочных попытках эксплуатации уязвимости Oracle E-Business Suite, CVE-2026-101767, с оценкой CVSS 9.8. Это касается каждого, кто управляет корпоративной ERP от Oracle, ведь под угрозой могут оказаться бухгалтерия, зарплаты и закупки. Если ты еще не установил патч, ты находишься в самом уязвимом периоде.
Несколько терминов, прежде чем перейти к фактам. CVE это код, который однозначно идентифицирует уязвимость. CVSS это шкала от 0 до 10, которая измеряет ее серьезность. RCE означает удаленное выполнение кода, то есть запуск команд на чужом сервере. SQL injection это внедрение инструкций базы данных в веб-запрос. EBS это Oracle E-Business Suite, пакет корпоративного учета.
Что Oracle опубликовала в октябре
Согласно официальному уведомлению Oracle, Critical Patch Update включает 1295 новых патчей для нескольких семейств продуктов. Только для продуктов баз данных их 14, плюс исправления сторонних компонентов. Из них 4 уязвимости можно эксплуатировать удаленно без аутентификации. В таблице, например, есть уязвимость OpenSSL в базе данных с оценкой 9.8.
Oracle напоминает, что патчи выходят только для версий, которые покрыты Premier Support или Extended Support. Версии вне поддержки даже не тестируются. Компания также пишет, что регулярно получает сообщения об атаках на уязвимости, которые уже исправлены. В некоторых случаях злоумышленникам удавалось действовать, потому что клиенты не установили патчи.
Как работает уязвимость CVE-2026-101767?
Речь идет о проблеме аутентификации в Application Object Library EBS. По данным The Hacker News, исследователи Horizon3.ai Brandon Peterson, Jimi Sebree и Noah King сообщили о ней Oracle 24 июля 2026 года.
Цепочка атаки
Horizon3.ai описывает ее как неаутентифицированную SQL injection в сервлете Thin Client Framework, которую можно связать с удаленным выполнением кода. Специально сформированный запрос к пути /OA_HTML/AppsTCFServer позволяет выполнить SQL с правами пользователя базы данных APPS. Оттуда можно добраться до команд операционной системы с правами учетной записи приложения EBS.
Какие данные под угрозой
Horizon3.ai предупреждает, что в зависимости от установки под угрозой могут оказаться финансовые записи, зарплаты, кадровые данные и закупки. Больше всего рискуют системы, доступные из интернета. Пострадать могут и внутренние системы, если злоумышленник доберется до сервлета с скомпрометированной машины или из другого сегмента сети.
Кто ищет уязвимые системы?
Defused Cyber заявила, что ее ловушки зафиксировали разведочные эксплойты против CVE-2026-101767 27 октября. BleepingComputer уточняет, что Oracle пока не отметила уязвимость как активно эксплуатируемую. Shadowserver отслеживает более 670 открытых экземпляров EBS, в основном с американскими адресами, но не говорит, сколько из них являются приманками или уже защищены.
Контекст важен. Источники напоминают, что CVE-2025-61882 использовала группа вымогателей Clop, а другая уязвимость PeopleSoft была эксплуатирована ShinyHunters. По данным BleepingComputer, с ноября 2021 года CISA включила 46 багов Oracle в список активно эксплуатируемых, и 13 из них применялись также в атаках программ-шифровальщиков.
Что делать, если не можешь обновиться сразу
Обновления остаются главным ответом. Если это невозможно, The Hacker News советует такие меры.
- Убрать /OA_HTML/AppsTCFServer из allowlist URL-фильтра файрвола EBS.
- Ограничить доступ к веб-уровню EBS доверенными сетями.
- Следить за хостом приложения и базой данных на признаки компрометации.
Horizon3.ai также приводит индикаторы компрометации. Это неаутентифицированные POST-запросы к /OA_HTML/AppsTCFServer, сразу после них разведка SQL, неожиданные файлы в $APPLPTMP и учетная запись oracle, которая запускает /bin/sh через Concurrent Manager. Oracle предупреждает, что блокировка протоколов или снятие привилегий может сломать функции приложения, поэтому сначала стоит проверить это на несистемных серверах.
Ограничения, которые стоит знать
Oracle не подтверждала активную эксплуатацию. Defused говорит о разведочных попытках на приманках, а не об успешных взломах. Мы не знаем, сколько открытых экземпляров все еще уязвимы, потому что Shadowserver этого не различает. Таблица Oracle, которой мы располагаем, обрезана, поэтому мы не можем привести все уязвимости цикла. Картина может быстро измениться, особенно если появится публичный код эксплойта.
Что меняется для тех, кто работает с цифровыми технологиями
Если твоя компания или компания клиента использует EBS, патч уже нельзя откладывать, его нужно ставить. Между исправлением и первыми сканированиями прошла одна неделя. Проверь, доступен ли сервлет из интернета и кто может до него добраться из внутренней сети.
Тем, кто разрабатывает интеграции для EBS, стоит восстановить инвентаризацию экземпляров и версий. Тем, кто администрирует серверы для других, нужно знать, какие системы вне поддержки, ведь для них патчи не выйдут. Организационно хостинг с управляемыми обновлениями безопасности может снять с компании часть этой гонки. О теме автоматического поиска уязвимостей атакующими мы уже писали в материале об автономном ИИ-хакере и малом бизнесе в Италии.
Наше мнение
Новость не в самой уязвимости, а в скорости. Неделя от патча до первых зондирований означает, что квартальный график многих компаний слишком медленный для открытого софта. Oracle правильно настаивает на установке патчей без задержек, но avviso с 1295 исправлениями трудно переварить небольшой компании с одним системным администратором.
Есть и критика. Центральные учетные системы, полные данных о зарплатах и поставщиках, часто остаются доступными из слишком широких сетей, потому что никто не хочет к ним прикасаться. Сократить открытую поверхность обходится дешевле любого инцидента. Тем, у кого нет внутренней команды, стоит относиться к безопасности программного обеспечения в компании как к непрерывному процессу, а не как к разовой работе.
Часто задаваемые вопросы
CVE-2026-101767 уже активно эксплуатируется?
Официального подтверждения нет. Oracle пока не отметила ее как эксплуатируемую, но Defused Cyber зафиксировала разведочные попытки 27 октября на своих ловушках.
Насколько серьезна уязвимость?
Оценка CVSS составляет 9.8. По данным BleepingComputer, она позволяет неаутентифицированному злоумышленнику с HTTP-доступом взять систему под контроль при низкой сложности атаки.
Какие системы затронуты?
Oracle E-Business Suite, в частности Application Object Library и сервлет Thin Client Framework. Предоставленные источники не перечисляют здесь затронутые версии, поэтому проверь уведомление Oracle.
Что можно сделать, если не получается установить патч?
Убери путь /OA_HTML/AppsTCFServer из allowlist файрвола и ограничь доступ к веб-уровню доверенными сетями. Следи за хостами и базами данных. Любые изменения сначала проверь на несистемной среде.
Под угрозой ли внутренние системы?
Да. По данным The Hacker News, внутренняя система может пострадать, если злоумышленник доберется до сервлета с скомпрометированной машины или из другого сегмента сети.
Три шага на ближайшие недели
В ближайшие месяцы смотри, отнесут ли Oracle и CISA уязвимость к активно эксплуатируемым и появятся ли публичные эксплойты. А пока начни отсюда.
- Установи октябрьский Critical Patch Update на экземпляры EBS, начиная с открытых в интернет.
- Проверь в логах запросы к /OA_HTML/AppsTCFServer и индикаторы Horizon3.ai.
- Составь список версий вне поддержки и запланируй обновление.
