פגיעות קריטית ב-Oracle E-Business Suite שתוקנה בעדכון הרבעוני של אוקטובר 2026 כבר מותקפת בניסיונות סריקה וניצול. מי שלא עדכן ומחזיק את שכבת הווב של EBS חשופה, צריך לטפל בזה עכשיו.
| מזהה | CVE-2026-101767 |
| מוצר | Oracle E-Business Suite, רכיב Application Object Library; הגרסאות המושפעות לא פורסמו בכתבה, ראה את ה-advisory של Oracle |
| חומרה | CVSS 9.8 (קריטית) |
| ניצול | ניסיונות ניצול נצפו ב-27 באוקטובר לפי Defused Cyber; לא פורסם ניצול מוצלח |
| תיקון | קיים, בעדכון ה-CPU של אוקטובר 2026 |
מה קרה
לפי Horizon3.ai, שדיווחה על הפגיעות ל-Oracle ב-24 ביולי, מדובר בהזרקת SQL ללא אימות בשירות Thin Client Framework, שניתן לשרשר להרצת פקודות. תוקף עם גישת רשת לשירות מריץ שאילתות כמשתמש APPS במסד, ומשם פקודות מערכת הפעלה בחשבון האפליקציה. מידע חשוף עשוי לכלול נתוני כספים, שכר, משאבי אנוש ורכש.
חברת Defused Cyber, שמפעילה שרתי פיתיון של EBS, מדווחת על ניסיונות ניצול ראשונים. מדובר בבדיקות ולא בקמפיין מאושר. עם זאת, פגיעויות קודמות ב-EBS נוצלו בפועל, בהן אחת על ידי כנופיית הכופר Cl0p.
נקודות לשים לב
- התקן את עדכון ה-CPU של אוקטובר 2026 לפני כל פעולה אחרת.
- אם אי אפשר לעדכן מיד: הסר את
/OA_HTML/AppsTCFServerמרשימת ההיתרים של ה-URL firewall, והגבל את הגישה לשכבת הווב לרשתות מהימנות. - חפש בלוגים בקשות POST ללא אימות אל
/OA_HTML/AppsTCFServer, קבצים לא צפויים ב-$APPLPTMP, וחשבוןoracleשמפעיל/bin/shדרך ה-Concurrent Manager. - מערכות EBS החשופות לאינטרנט הן יעד מוכר לתוקפים; אל תניח שאתה בטוח רק כי הפגיעות פורסמה לאחרונה.
מקורות: The Hacker News · Horizon3.ai · Oracle CPU
₿ אהבת את הפוסט?
אפשר לשלוח לי ביטקוין ישירות לכתובת שלי. סרקו את הקוד, או העתיקו את הכתובת:
bc1qsn043qmlv4ejxydeknkfm9u6e93e6tegmq9x85
שימו לב: העברה on-chain כרוכה בעמלת רשת שאינה תלויה בסכום, ולכן סכומים קטנים מאוד אינם כדאיים.
