安全补丁发布数日后，黑客瞄准 Oracle E-Business Suite 严重 RCE 漏洞

据威胁情报公司 Defused Cyber 称，威胁行为者已开始探测 Oracle E-Business Suite（EBS）中一个新修复的严重漏洞。

该漏洞为 CVE-2026-101767（CVSS 评分：9.8），是 Oracle E-Business Suite 的 Oracle Application Object Library 中的一例不当身份验证问题。它由 Oracle 于上周作为其 Critical Patch Update 的一部分予以修复。

Horizon3.ai 的安全研究员 Brandon Peterson、Jimi Sebree 和 Noah King 被公认为于 2026 年 7 月 24 日发现该缺陷并向 Oracle 报告。

"今天早上（10 月 27 日），我们的 Oracle E-Business Suite 蜜罐记录到了针对 CVE-2026-101767 的探测性利用——EBS 的 Thin Client Framework servlet 中一个未认证的 SQL 注入，可串联实现远程代码执行，" Defused Cyber 在一条 X 帖子中表示。

在关于该漏洞的一份公告中，Horizon3.ai 将其描述为一个未认证的 SQL 注入漏洞，可通过串联实现远程代码执行。

"该漏洞允许具有对受影响 Thin Client Framework（TCF）servlet 网络访问权限的攻击者以 APPS 数据库用户身份执行 SQL，然后以 EBS 应用账户的权限运行操作系统命令，"这家网络安全公司表示。

具体而言，攻击者可以向位于 "/OA_HTML/AppsTCFServer" 的易受攻击的 TCF servlet 发出一个特制请求，以 APPS 数据库用户的权限运行 SQL，并最终实现以 EBS 应用账户权限执行系统命令。

成功利用 CVE-2026-101767 可允许攻击者读取或修改 APPS 可访问的应用数据，并在应用主机上执行命令。

"根据部署情况，受影响的数据可能包括财务、薪资、人力资源和采购记录。操作系统访问权限受被攻陷的 EBS 应用账户的权限限制，" Horizon3.ai 警告道。

虽然面向互联网的 EBS 部署风险最大，但如果攻击者能够从被攻陷的系统或其他可访问的网络段触及易受攻击的 servlet，内部 EBS 系统也可能被利用。

建议用户尽快更新到最新版本。如果无法立即打补丁，可以应用以下变通方法——

• 从 EBS URL 防火墙允许列表中移除与 oracle.apps.fnd.tcf.SocketServer 关联的 /OA_HTML/AppsTCFServer。
• 将对 EBS Web 层的访问限制为受信任的网络。
• 监控 EBS 应用主机和数据库是否存在攻陷迹象。

Horizon3.ai 还分享了以下入侵指标——

• 对 /OA_HTML/AppsTCFServer 的未认证 POST 请求，实例化 Gantt 数据服务器类（oracle.apps.jtf.gantt.server.GanttDataServer），随后出现后端数据库活动。
• 未认证 Web 请求后不久出现的 SQL 侦察（数据库版本、当前用户、目录对象）。
• $APPLPTMP 中的意外文件，以及 oracle 账户通过 Concurrent Manager 启动 /bin/sh 以运行操作系统命令。

EBS 中的漏洞是攻击者的热门目标。过去一年，同一产品中的两个严重缺陷（CVE-2025-61882 和 CVE-2026-46817，CVSS 评分：9.8）遭到主动利用，其中前者被 Cl0p 勒索软件和勒索团伙所利用。