Злонамерени лица започнаха активно сканиране на интернет пространството в търсене на системи с наскоро коригирана критична уязвимост в софтуерния пакет Oracle E-Business Suite (EBS). Проблемът позволява пълен отдалечен контрол над засегнатите сървъри без нужда от удостоверяване, което поставя под пряк риск критични корпоративни данни и процеси.
Какво представлява уязвимостта CVE-2026-101767
Дефектът в сигурността, идентифициран като CVE-2026-101767, засяга основен компонент на пакета Oracle E-Business Suite – библиотеката Application Object Library. Проблемът представлява SQL injection (инжектиране на нерегламентирани SQL команди) в сервлета Thin Client Framework. Чрез него отдалечен нападател без потребителски профил може да постигне отдалечено изпълнение на зловреден код (Remote Code Execution, RCE) чрез стандартна HTTP комуникация.
Слабостта е открита и докладвана от изследователите от Horizon3.ai. Производителят Oracle публикува поправки в редовния си пакет за сигурност на 20 октомври 2026 г., като уязвимостта получи оценка 9.8 по скалата CVSS. Експлоатацията се оценява като атака с ниска сложност, която не изисква предварителни потребителски права.
Въпреки че Oracle първоначално не маркира проблема като активно използван при реални атаки, компанията за анализ на заплахи Defused обяви, че на 27 октомври сутринта нейните примамки (decoys) са засякли първите разузнавателни опити за сканиране и експлоатация.
Кои организации и системи са изложени на риск
Системите на Oracle E-Business Suite управляват ключови ресурси и операции в големи корпорации, държавни институции и здравни заглавия по цял свят. Мониторингът на организацията Shadowserver отчита над 670 инстанции на Oracle EBS с директен достъп от интернет, като повечето от тях са с IP адреси в САЩ. Shadowserver уточнява, че не разполага с данни колко от тях са тестови среди или вече са защитени с актуалните пачове.
Корпоративните системи на Oracle често се оказват във фокуса на опитни киберпрестъпни групировки. От ноември 2021 г. насам американската агенция CISA е добавила 46 уязвимости в софтуер на Oracle в своя регистър на активно експлоатирани проблеми, като 13 от тях са свързани с ransomware (рансъмуер) атаки:
- От началото на август 2025 г. групата за изнудване Clop експлоатира уязвимост в EBS (
CVE-2025-61882) чрез атаки от тип „нулев ден“. Кампанията засегна над 100 организации от сектори като финанси, енергетика, телекомуникации и производство, включително организации като Logitech, GlobalLogic, The Washington Post, Harvard University, University of Pennsylvania, Dartmouth College и University of Phoenix. - През юни Defused предупреди за злонамерена дейност около
CVE-2026-46817– критична уязвимост в модула Payments (File Transmissions) на пакета EBS. - Отново през юни Oracle пусна спешни мерки за защита срещу критичен дефект в PeopleSoft Suite (
CVE-2026-35273), експлоатиран от групата ShinyHunters между 27 май и 9 юни срещу организации като Nissan, Nottingham University и застрахователната асоциация NAIC.
Важно: Проблемът CVE-2026-101767 се атакува дистанционно през мрежата по HTTP протокол без необходимост от валидни потребителски данни. Всеки свързан с интернет сървър с E-Business Suite е изложен на директна опасност от автоматизирано компрометиране.
Какво да направите за защита на инфраструктурата
По данни на Oracle нападателите често успяват при подобни кампании именно защото засегнатите клиенти не са инсталирали наличните актуализации навреме. Препоръчва се предприемането на следните конкретни стъпки:
Приложете без забавяне пакета Critical Security Patch Update от 20 октомври 2026 г. и се уверете, че използвате версии на софтуера с активна поддръжка от производителя.
Спрете публичния HTTP и HTTPS достъп до E-Business Suite. Ограничете входа до приложението само през вътрешна мрежа или виртуална частна мрежа (VPN).
Анализирайте логовете за опити за инжектиране и подозрителни обръщения към сервлета Thin Client Framework, регистрирани след 27 октомври.
Изводи за корпоративната сигурност
Появата на разузнавателни опити само дни след издаването на официалния пач за CVE-2026-101767 доказва, че нападателите следят отблизо обновленията и автоматизират търсенето на уязвими сървъри. Забавянето при обновяването на централни ERP и управленски платформи създава реален риск от проникване в цялата вътрешна инфраструктура. Екипът на Defend.bg може да окаже съдействие при проверката на външния периметър и прилагането на защитните обновления за критичните бизнес системи.
