Атакующие уже сканируют интернет в поисках серверов, не закрывших критическую уязвимость Oracle EBS CVE-2026-101767. Для компаний, использующих Oracle E-Business Suite, это означает привычную, но неприятную гонку: обновление вышло 20 октября, а первые попытки эксплуатации исследователи зафиксировали 27 октября.
Как сообщает BleepingComputer, проблема затрагивает компонент Application Object Library в Oracle E-Business Suite. Уязвимость позволяет удалённому атакующему без учётной записи обратиться к системе по HTTP и при несложной атаке получить контроль над уязвимым сервером. Oracle включила исправление в октябрьский пакет Critical Security Patch Update и прямо предупредила клиентов: известны случаи успешных атак, где причиной стало неприменённое обновление.
CVE-2026-101767 описывается как SQL-инъекция в сервлете Thin Client Framework. По данным компании Defused, её приманки Oracle EBS утром 27 октября зарегистрировали разведочные попытки использовать дефект в цепочке до удалённого выполнения кода. Иными словами, речь пока не о подтверждённой массовой кампании с опубликованными жертвами, но и не о теоретической записи в бюллетене: злоумышленники уже проверяют, кто оставил дверь открытой.
Oracle пока не пометила CVE-2026-101767 как активно эксплуатируемую уязвимость. Это, однако, не повод трактовать статус как отсрочку. Между выходом патча, появлением технических разборов и автоматизированным сканированием обычно проходит немного времени. Для внешне доступных корпоративных приложений такой промежуток особенно опасен: сканеры находят не «организации», а адреса и признаки конкретного ПО, после чего в работу идут уже отобранные цели.
Почему Oracle EBS снова в прицеле
Shadowserver отслеживает свыше 670 экземпляров Oracle E-Business Suite, доступных из интернета; большая часть связана с IP-адресами в США. Эта цифра не показывает, сколько систем являются ловушками, а сколько уже обновлены, поэтому её нельзя считать числом потенциально взламываемых серверов. Но она хорошо показывает масштаб поверхности атаки: даже несколько сотен публично доступных ERP-инсталляций — достаточный рынок для операторов вымогательских программ и брокеров первоначального доступа.
Oracle EBS интересна преступникам не из-за экзотики, а из-за роли в инфраструктуре. Такие системы часто обслуживают финансы, закупки, кадровые процессы, цепочки поставок и другие данные, которые нельзя безболезненно потерять или остановить. В августе 2025 года группировка Clop начала использовать другую уязвимость Oracle EBS, CVE-2025-61882, в атаках нулевого дня. Среди публично названных пострадавших тогда были Logitech, GlobalLogic, The Washington Post и ряд американских университетов, включая Гарвардский университет, Университет Пенсильвании, Дартмутский колледж и University of Phoenix.
Есть и более свежий прецедент. В июне Oracle выпустила экстренные меры защиты для критической уязвимости нулевого дня в PeopleSoft Suite — CVE-2026-35273. Группировка ShinyHunters эксплуатировала её с 27 мая по 9 июня, получая неаутентифицированное удалённое выполнение кода и похищая данные. Среди организаций, о которых сообщалось в связи с этой кампанией, назывались Ноттингемский университет, Nissan и Национальная ассоциация комиссаров по страхованию США.
Статистика американского агентства CISA добавляет контекста без драматизации: с ноября 2021 года в его каталог известных эксплуатируемых уязвимостей внесены 46 проблем безопасности Oracle, а 13 из них связывались и с атаками вымогателей. Для ИТ-директора это не аргумент против конкретного вендора, а напоминание о механике риска: критический бизнес-сервис, выставленный наружу и обновляемый по остаточному принципу, быстро становится приоритетной целью.
Что проверить ИТ-командам
Первое действие — не искать в логах «взлом CVE-2026-101767», а установить, какие экземпляры EBS доступны по HTTP или через опубликованные прокси, и сопоставить их с октябрьским бюллетенем Oracle. Затем нужно применить рекомендованное обновление на поддерживаемых версиях продукта и проверить, что защита действительно дошла до каждого контура: тестового, резервного, регионального и забытого после миграции. В крупных компаниях именно такие исключения часто переживают плановое патч-окно.
Параллельно полезно просмотреть журналы веб-сервера, WAF, балансировщиков и самой EBS на аномальные обращения к Thin Client Framework начиная с 20 октября, а особенно после 27 октября. Это не заменяет патч: фильтрация на периметре может снизить шум и выиграть часы, но не устраняет дефект. Командам разработки и эксплуатации стоит также убедиться, что административные интерфейсы и служебные компоненты не опубликованы без необходимости, а сегментация не позволяет скомпрометированному серверу свободно ходить к базам данных и другим критичным системам.
Главный вопрос теперь не в том, появится ли рабочая эксплуатация в открытом доступе, а в том, сколько организаций успеют сократить окно риска до того, как сканирование сменится целевыми атаками. Уязвимость Oracle EBS уже перешла из стадии бюллетеня в стадию практического интереса атакующих — и для владельцев публичных EBS-инсталляций это достаточная причина поставить обновление выше очередных внутренних согласований.
