Хакеры атакуют критическую уязвимость Oracle E-Business Suite через несколько дней после патча
Злоумышленники начали искать критическую уязвимость CVE-2026-101767 (CVSS 9.8) в Oracle E-Business Suite через несколько дней после того, как Oracle выпустила исправление. По данным компании Defused Cyber, ловушки-приманки зафиксировали пробные попытки эксплуатации.
Главное в цифрах
- CVSS-оценка CVE-2026-101767: 9.8
- Дата обнаружения и передачи Oracle: 24 июля 2026 года
Уязвимость CVE-2026-101767 относится к категории некорректной аутентификации в Oracle Application Object Library, входящей в состав Oracle E-Business Suite (EBS). Oracle устранила её на прошлой неделе в рамках очередного критического обновления (Critical Patch Update).
Обнаружили и передали уязвимость Oracle 24 июля 2026 года исследователи Брендон Питерсон, Джими Сибри и Ноа Кинг из Horizon3.ai.
Как работает атака
По описанию Horizon3.ai, это неаутентифицированная SQL-инъекция, которую можно связать с удалённым выполнением кода. Атакующий с сетевым доступом отправляет специально сформированный запрос к уязвимому сервлету Thin Client Framework (TCF) по адресу /OA_HTML/AppsTCFServer. Так он выполняет SQL с правами пользователя базы данных APPS, а затем запускает системные команды с правами учётной записи приложения EBS.
Успешная эксплуатация позволяет читать и менять данные приложения, доступные APPS, и выполнять команды на хосте приложения. В зависимости от развёртывания под угрозой могут оказаться финансовые, кадровые, зарплатные и закупочные данные. Внутренние системы EBS тоже могут быть атакованы, если злоумышленник получит доступ к сервлету из скомпрометированной системы или другого сегмента сети.
Контекст
Компания Defused Cyber сообщила о пробах в своём посте в X. Пользователям рекомендуется как можно скорее установить последнюю версию. Если сразу обновиться нельзя, можно применить обходные меры из рекомендаций Oracle. Horizon3.ai также опубликовала индикаторы компрометации.
Уязвимости EBS давно привлекают атакующих. За последний год две критические уязвимости того же продукта, CVE-2025-61882 и CVE-2026-46817 (CVSS 9.8), эксплуатировались активно. CVE-2025-61882 использовала группировка Cl0p, занимающаяся программами-вымогателями и вымогательством.
