Ing. Calogero Bono
Oracle, 20 Ekim 2026'da 1295 yeni güvenlik yamasının yer aldığı Critical Patch Update'i yayımladı. Birkaç gün sonra, 27 Ekim'de, tehdit istihbaratı şirketi Defused Cyber, Oracle E-Business Suite içindeki CVE-2026-101767 açığına yönelik keşif amaçlı sömürü girişimleri bildirdi. Bu açık 9.8 CVSS puanına sahip. Oracle'ın kurumsal ERP sistemini yöneten herkesi ilgilendiriyor, çünkü söz konusu veriler muhasebe, bordro ve satın alma kayıtları olabilir. Henüz yamayı uygulamayanlar en riskli dönemde.
Olaylara girmeden önce birkaç terim. CVE, bir güvenlik açığını benzersiz biçimde tanımlayan koddur. CVSS, önemini 0 ile 10 arasında ölçen skaladır. RCE, uzaktan kod yürütme anlamına gelir, yani başkasının sunucusunda komut çalıştırmaktır. SQL injection, bir web isteğine veritabanı komutları eklemektir. EBS, Oracle E-Business Suite yönetim yazılımıdır.
Oracle'ın ekimde yayımladıkları
Oracle'ın resmi duyurusuna göre Critical Patch Update, farklı ürün ailelerine ait 1295 yeni yama içeriyor. Yalnızca veritabanı ürünleri için 14 yeni yama var, bunlara üçüncü taraf yamalar da ekleniyor. Bunlardan 4 açık, kimlik doğrulaması olmadan uzaktan sömürülebiliyor. Tabloda, veritabanındaki 9.8 puanlı bir OpenSSL açığı da örnek olarak yer alıyor.
Oracle, yamaların yalnızca Premier Support veya Extended Support kapsamındaki sürümler için çıktığını hatırlatıyor. Destek süresi dolmuş sürümler ise test bile edilmiyor. Şirket ayrıca, zaten düzeltilmiş açıklara yönelik saldırılarla ilgili düzenli bildirim aldığını yazıyor. Bazı durumlarda saldırganlar, müşterilerin yamaları uygulamamış olması sayesinde başarılı olmuş.
CVE-2026-101767 açığı nasıl çalışıyor?
Bu, EBS'in Application Object Library bileşenindeki bir kimlik doğrulama sorunu. The Hacker News'a göre Horizon3.ai araştırmacıları Brandon Peterson, Jimi Sebree ve Noah King açığı 24 Temmuz 2026'da Oracle'a bildirmiş.
Saldırı zinciri
Horizon3.ai, bunu Thin Client Framework servletinde kimlik doğrulaması gerektirmeyen bir SQL injection olarak tanımlıyor. Bu açık, uzaktan kod yürütmeye kadar zincirlenebiliyor. /OA_HTML/AppsTCFServer yoluna özenle hazırlanmış bir istek, APPS veritabanı kullanıcısının yetkileriyle SQL çalıştırmaya izin veriyor. Oradan da EBS uygulama hesabının yetkileriyle işletim sistemi komutlarına ulaşılabiliyor.
Hangi veriler risk altında
Horizon3.ai, kuruluma bağlı olarak etkilenen verilerin finansal kayıtlar, bordro, insan kaynakları ve satın almayı kapsayabileceği uyarısını yapıyor. İnternete açık sistemler en fazla risk altında. İç ağdaki sistemler de saldırgan ele geçirilmiş bir makineden ya da başka bir ağ segmentinden servlete ulaşırsa etkilenebilir.
Savunmasız sistemleri kimler arıyor?
Defused Cyber, kendi tuzak sistemlerinin 27 Ekim'de CVE-2026-101767'ye yönelik keşif amaçlı sömürü denemeleri kaydettiğini açıkladı. BleepingComputer, Oracle'ın bu açığı henüz aktif olarak sömürüldü diye işaretlemediğini belirtiyor. Shadowserver ise çoğunlukla ABD adreslerinde bulunan 670'in üzerinde açık EBS örneği izliyor, ancak bunların kaçının tuzak ya da zaten korumalı olduğunu söylemiyor.
Bağlam da önemli. Kaynaklar, CVE-2025-61882 açığının Clop fidye grubu tarafından kullanıldığını ve PeopleSoft'taki başka bir açığın ShinyHunters tarafından sömürüldüğünü hatırlatıyor. BleepingComputer'a göre CISA, Kasım 2021'den bu yana 46 Oracle açığını aktif olarak sömürülenler listesine eklemiş; bunların 13'ü fidye yazılımı saldırılarında da kullanılmış.
Hemen güncelleyemiyorsan ne yapmalısın
Birinci çözüm yine güncellemeler. Bu mümkün değilse The Hacker News şu önlemleri öneriyor.
- /OA_HTML/AppsTCFServer yolunu EBS güvenlik duvarının URL izin listesinden çıkar.
- EBS web katmanına erişimi güvenilen ağlarla sınırla.
- Uygulama sunucusunu ve veritabanını ele geçirilme belirtileri açısından izle.
Horizon3.ai ayrıca tehlike göstergelerini de paylaşıyor. Bunlar, /OA_HTML/AppsTCFServer adresine kimlik doğrulamasız POST istekleri, hemen ardından gelen SQL keşfi, $APPLPTMP içinde beklenmedik dosyalar ve oracle kullanıcısının Concurrent Manager üzerinden /bin/sh başlatması. Oracle, protokolleri engellemenin ya da yetkileri kaldırmanın uygulama işlevlerini bozabileceği konusunda uyarıyor, bu yüzden değişiklikler önce üretim dışı sistemlerde denenmeli.
Bilmen gereken sınırlar
Oracle'ın aktif sömürüyü doğruladığına dair bir kayıt yok. Defused, tuzak sistemlere yönelik keşif denemelerinden söz ediyor, başarılı ihlallerden değil. Shadowserver bunu ayırt etmediği için hâlâ kaç açık sistemin savunmasız olduğunu bilmiyoruz. Elimizdeki Oracle tablosu ayrıca kesik olduğundan, bu döngüdeki tüm açıkları aktaramıyoruz. Halka açık istismar kodu çıkarsa durum hızla değişebilir.
Dijital alanda çalışanlar için ne değişiyor
Şirketin ya da bir müşterinin EBS kullanıyorsa yama artık planlanacak bir iş değil, yapılması gereken bir iş. Düzeltme ile ilk taramalar arasında yalnızca bir hafta geçti. Servletin internetten erişilebilir olup olmadığını ve iç ağdan kimlerin ulaşabildiğini kontrol et.
EBS üzerinde entegrasyon geliştirenler, örneklerin ve sürümlerin envanterini yeniden çıkarmalı. Başkaları adına sunucu yönetenler ise hangi sistemlerin destek dışında kaldığını bilmeli, çünkü bunlar için yama gelmeyecek. Organizasyon açısından, güvenlik güncellemeleri yönetilen bir hosting hizmeti bu yarışın bir kısmını şirketin omzundan alabilir. Saldırganların açık aramasını otomatikleştirme konusunu ise otonom yapay zeka hackerı ve İtalya'daki KOBİ'ler yazımızda ele almıştık.
Bizim değerlendirmemiz
Asıl haber açığın kendisi değil, hızı. Yamadan ilk taramalara kadar bir hafta geçmesi, birçok şirketin üç aylık takvimlerinin dışa açık yazılımlar için fazla yavaş olduğu anlamına geliyor. Oracle'ın yamaların gecikmeden uygulanması konusundaki ısrarı doğru, ama 1295 düzeltmeden oluşan bir duyuru, tek bir sistem yöneticisi olan küçük bir şirket için hazmı zor.
Bir noktayı eleştiriyoruz. Bordro ve tedarikçi verileriyle dolu merkezi yönetim yazılımları, kimse dokunmak istemediği için çoğu zaman gereğinden geniş ağlardan erişilebilir kalıyor. Açığa çıkan yüzeyi küçültmek, herhangi bir olaydan daha az maliyetli. İç ekibi olmayanlar, şirketteki yazılım güvenliğini tek seferlik bir müdahale olarak değil, sürekli bir süreç olarak ele almalı.
Sık sorulan sorular
CVE-2026-101767 şimdiden aktif olarak sömürülüyor mu?
Resmi bir doğrulama yok. Oracle açığı henüz sömürülen olarak işaretlemedi, ancak Defused Cyber 27 Ekim'de kendi tuzak sistemlerinde keşif denemeleri kaydetti.
Açık ne kadar ciddi?
CVSS puanı 9.8. BleepingComputer'a göre, HTTP erişimi olan ve kimlik doğrulaması yapmayan bir saldırgan, düşük karmaşıklıkta saldırılarla sistemin kontrolünü ele geçirebiliyor.
Hangi sistemler etkileniyor?
Oracle E-Business Suite, özellikle Application Object Library ve Thin Client Framework servleti. Elimizdeki kaynaklar etkilenen sürümleri listelemiyor, bu yüzden Oracle duyurusunu kontrol etmelisin.
Yamayı uygulayamıyorsam ne yapabilirim?
/OA_HTML/AppsTCFServer yolunu güvenlik duvarının izin listesinden çıkar ve web katmanına erişimi güvenilen ağlarla sınırla. Uygulama sunucusunu ve veritabanını izle. Her değişikliği önce üretim dışı bir ortamda dene.
İç sistemler de risk altında mı?
Evet. The Hacker News'e göre, saldırgan servlete ele geçirilmiş bir makineden ya da başka bir ağ segmentinden ulaşırsa iç sistemler de etkilenebilir.
Önümüzdeki haftalar için üç adım
Önümüzdeki aylarda Oracle ve CISA'nın bu açığı aktif olarak sömürülen olarak sınıflandırıp sınıflandırmayacağına, ayrıca herkese açık istismar kodlarının çıkıp çıkmayacağına bak. Bu arada şu adımlarla başla.
- Ekim Critical Patch Update'ini EBS örneklerine uygula, öncelikle dışa açık olanlardan başla.
- Günlüklerde /OA_HTML/AppsTCFServer yönelimli istekleri ve Horizon3.ai göstergelerini ara.
- Destek dışı kalan sürümlerin listesini çıkar ve yükseltme planla.
