Oracle E-Business Suite'teki kritik açık, Ekim yamasından günler sonra taranıyor

Oracle E-Business Suite'teki (EBS) kimlik doğrulaması gerektirmeyen kritik bir açık, Oracle bir düzeltme yayımladıktan yalnızca günler sonra saldırganlar tarafından taranmaya başladı; bunu The Hacker News 28 Ekim 2026'da aktardı. EBS büyük kurumların finans, bordro, İK ve satın alma kayıtlarını yönettiği için araştırmacılar yöneticilere gecikmeden yama yapmaları çağrısında bulunuyor.

Neler oldu?

CVE-2026-101767 koduyla izlenen ve CVSS ölçeğinde 9,8 puan alan açık, Oracle Application Object Library bileşeninin parçası olan Thin Client Framework (TCF) servlet'inde yer alan, kimlik doğrulamasız bir SQL enjeksiyonu. The Hacker News'e göre açık uzaktan kod çalıştırmaya zincirlenebiliyor. Oracle açığı Ekim 2026 Kritik Yama Güncellemesi'nde kapattı. Şirket, sorunu 24 Temmuz 2026'da Oracle'a bildiren Horizon3.ai'den Brandon Peterson, Jimi Sebree ve Noah King'e teşekkür etti.

Teknik detaylar

Horizon3.ai'ye göre, /OA_HTML/AppsTCFServer adresindeki TCF servlet'ine ağ erişimi olan bir saldırgan, APPS veritabanı kullanıcısı olarak SQL çalıştırabiliyor ve ardından EBS uygulama hesabı olarak işletim sistemi komutları yürütebiliyor. Bu da saldırgana APPS hesabının eriştiği her uygulama verisini okuma veya değiştirme ve sunucuda komut çalıştırma imkânı veriyor. The Hacker News, en büyük riski internete açık kurulumların taşıdığını, ancak iç sistemlerin de ele geçirilmiş bir makineden ya da erişilebilir bir ağ segmentinden vurulabileceğini belirtiyor.

İstismar ne durumda?

Tehdit istihbaratı şirketi Defused Cyber, EBS tuzak sistemlerinin 27 Ekim 2026'da açığa yönelik keşif amaçlı istismar denemeleri kaydettiğini bildirdi; The Hacker News bunu tehdit aktörlerinin açığı aramaya başlaması olarak tanımlıyor. Horizon3.ai'nin paylaştığı ele geçirme göstergeleri arasında /OA_HTML/AppsTCFServer adresine GanttDataServer sınıfını örnekleyen kimlik doğrulamasız POST istekleri ve ardından gelen veritabanı etkinliği, veritabanı sürümü ve mevcut kullanıcı gibi SQL keşif sorguları, $APPLPTMP dizininde beklenmedik dosyalar ve oracle hesabının Concurrent Manager üzerinden /bin/sh başlatması yer alıyor. Haber, EBS'nin yoğun biçimde hedef alındığı bir dönemde geldi: The Hacker News, ikisi de 9,8 puanlı CVE-2025-61882 ve CVE-2026-46817 açıklarının son bir yılda aktif olarak istismar edildiğini, CVE-2025-61882'yi Cl0p fidye yazılımı ve şantaj grubunun kullandığını hatırlatıyor.

Ne yapmalı?

Horizon3.ai ve The Hacker News, en kısa sürede en güncel sürüme yükseltmeyi öneriyor. Hemen yama yapamayan kurumlar için önerilen geçici önlemler ise /OA_HTML/AppsTCFServer adresini EBS URL güvenlik duvarı izin listesinden çıkarmak, EBS web katmanına erişimi güvenilir ağlarla sınırlamak ve uygulama sunucusu ile veritabanını yukarıdaki ele geçirme belirtilerine karşı izlemek.