Ing. Calogero Bono
Oracle 于 2026 年 10 月 20 日发布了关键补丁更新，包含 1295 个新的安全补丁。几天后，即 10 月 27 日，威胁情报公司 Defused Cyber 报告称，针对 Oracle E-Business Suite 的一个漏洞 CVE-2026-101767 出现了探测性攻击尝试，该漏洞 CVSS 评分为 9.8。对于使用 Oracle 企业资源管理系统的人来说，这一点很重要，因为涉及的数据可能包括财务、薪资和采购信息。尚未安装补丁的人正处于最危险的时间段。
先了解几个术语，再进入正题。CVE 是为漏洞提供唯一标识的编号。CVSS 是衡量其严重程度的 0 到 10 分量表。RCE 指远程代码执行，也就是在他人的服务器上远程运行命令。SQL 注入是在网络请求中插入数据库指令。EBS 即 Oracle E-Business Suite，一套企业管理软件。
甲骨文 10 月发布了什么
根据 Oracle 官方公告，此次关键补丁更新包含 1295 个针对多个产品系列的新补丁。仅就数据库产品而言，新增 14 个补丁，另加第三方组件的补丁。其中 4 个漏洞可以在无需身份验证的情况下远程利用。表格中例如列出了数据库中一个 OpenSSL 漏洞，评分为 9.8。
Oracle 提醒，补丁只针对仍处于 Premier Support 或 Extended Support 期内的版本提供。超出支持期的版本甚至不会进行测试。该公司还表示，它定期收到针对已修复漏洞的攻击报告。在某些情况下，攻击者之所以得手，是因为客户没有安装补丁。
CVE-2026-101767 漏洞是如何运作的？
这是 EBS 的 Application Object Library 中的一个身份验证问题。据 The Hacker News 报道，Horizon3.ai 的研究人员 Brandon Peterson、Jimi Sebree 和 Noah King 于 2026 年 7 月 24 日将该漏洞报告给了 Oracle。
攻击链
Horizon3.ai 将其描述为 Thin Client Framework servlet 中一个未经身份验证的 SQL 注入，可以串联成远程代码执行。精心构造的请求发往路径 /OA_HTML/AppsTCFServer，即可以数据库用户 APPS 的权限执行 SQL。由此便能获得 EBS 应用账户权限下的操作系统命令。
哪些数据面临风险
Horizon3.ai 提醒，视安装情况而定，涉及的数据可能包括财务记录、薪资、人力资源和采购数据。暴露在互联网上的系统风险最高。即便是内部系统，如果攻击者从一台已被攻陷的机器或另一网段访问到该 servlet，也可能遭到攻击。
谁在寻找存在漏洞的系统？
Defused Cyber 表示，其诱饵系统在 10 月 27 日记录到了针对 CVE-2026-101767 的探测性利用。BleepingComputer 指出，Oracle 尚未将该漏洞标记为已被积极利用。Shadowserver 追踪到 670 多个暴露的 EBS 实例，主要位于美国地址，但未说明其中有多少是诱饵或已受保护。
背景值得关注。资料提到，CVE-2025-61882 曾被勒索组织 Clop 利用，另一个 PeopleSoft 漏洞则被 ShinyHunters 利用。据 BleepingComputer 称，自 2021 年 11 月以来，CISA 已将 46 个 Oracle 漏洞列入被积极利用的清单，其中 13 个还被用于勒索软件攻击。
如果无法立即更新，该怎么办
更新仍然是首要的应对措施。如果无法更新，The Hacker News 报告了以下措施。
- 从 EBS 的 URL 防火墙允许列表中移除 /OA_HTML/AppsTCFServer。
- 将 EBS Web 层的访问限制在可信网络内。
- 监控应用主机和数据库是否有被攻陷的迹象。
Horizon3.ai 还给出了入侵指标，包括对 /OA_HTML/AppsTCFServer 的未经身份验证的 POST 请求、随后的 SQL 探测、$APPLPTMP 中出现的异常文件，以及 oracle 账户通过 Concurrent Manager 启动 /bin/sh。Oracle 警告，阻止协议或撤销权限可能会破坏应用功能，因此应先在非生产系统上测试。
需要留意的局限
Oracle 并未确认存在积极利用。Defused 描述的是针对诱饵系统的探测性尝试，而非成功入侵。由于 Shadowserver 无法区分，我们无法得知仍有多少暴露实例存在漏洞。我们手头的 Oracle 表格也不完整，因此无法列出该周期的全部漏洞。随着公开的利用代码出现，局势可能迅速变化。
这对数字化工作者意味着什么
如果你所在的公司或客户使用 EBS，补丁已经不再是待排期的事项，而是必须立即执行的任务。从修复发布到出现扫描，只用了一周时间。请检查该 servlet 是否可以从互联网访问，以及内网中哪些人可以访问它。
为 EBS 开发集成的人应当重新梳理实例和版本清单。为他人管理服务器的人需要清楚哪些系统已脱离支持，因为这些系统不会再获得补丁。在组织层面，提供托管安全更新的托管服务可以减轻公司在这场追赶中的部分负担。攻击者自动搜寻漏洞的话题，我们在讨论自主 AI 黑客与意大利中小企业时已经谈过。
我们的看法
真正的新闻不是漏洞本身，而是速度。从补丁发布到出现探测只用了一周，这意味着许多公司按季度安排的计划对暴露的软件来说太慢了。Oracle 坚持要求毫不拖延地安装补丁，这是对的，但对于只有一名系统管理员的小公司来说，一份包含 1295 个修复的公告很难消化。
我们要指出一个问题。存放大量薪资和供应商数据的核心管理系统，常常因为没人愿意触碰而仍可以从过于宽泛的网络访问。缩小暴露面的成本远低于任何安全事件。没有内部团队的人，应当把企业软件安全当作持续性的流程，而不是一次性的任务。
常见问题
CVE-2026-101767 已经被积极利用了吗？
尚无官方确认。Oracle 尚未将其标记为已被利用，但 Defused Cyber 在 10 月 27 日于自家诱饵系统上记录到了探测性尝试。
这个漏洞有多严重？
CVSS 评分为 9.8。据 BleepingComputer 称，它允许未经身份验证、可通过 HTTP 访问的攻击者以低复杂度的方式接管系统。
涉及哪些系统？
Oracle E-Business Suite，尤其是 Application Object Library 和 Thin Client Framework servlet。提供的资料并未在此列出受影响的版本，因此请查看 Oracle 公告。
如果无法安装补丁，我能做什么？
从防火墙允许列表中移除 /OA_HTML/AppsTCFServer 这一路径，并将 Web 层访问限制在可信网络内。同时监控主机和数据库。任何修改都要先在非生产环境中测试。
内部系统也有风险吗？
有。据 The Hacker News 称，如果攻击者从被攻陷的机器或另一网段访问到该 servlet，内部系统同样可能遭到攻击。
未来几周的三个行动
接下来几个月，请关注 Oracle 和 CISA 是否会将该漏洞列为已被积极利用，以及是否出现公开的利用代码。在此之前，先从这里开始。
- 将 10 月的关键补丁更新应用到 EBS 实例，优先处理暴露在外的实例。
- 在日志中检查发往 /OA_HTML/AppsTCFServer 的请求以及 Horizon3.ai 提供的指标。
- 列出已脱离支持的版本并规划升级。
