Oracle E-Business Suite'teki 9.8 puanlı açığa yönelik ilk istismar denemeleri görüldü

BleepingComputer ve SecurityWeek’in aktardığına göre tehdit istihbaratı şirketi Defused, Oracle E-Business Suite’teki CVE-2026-101767’ye yönelik keşif amaçlı istismar denemelerinin 27 Ekim’de tuzak sistemlerine ulaştığını açıkladı. Oracle bu açığı 20 Ekim’de yayımladığı Ekim 2026 kritik yama güncellemesinde kapatmıştı. Oracle’ın CVE kaydına göre açık, ağ üzerinden HTTP erişimi olan ve giriş yapmamış bir saldırganın kolayca istismar edebileceği türden ve başarılı bir saldırı Application Object Library ürününün ele geçirilmesiyle sonuçlanabiliyor. CVSS 3.1 puanı 9.8. Ekim yamasındaki diğer açıkları daha önceki yazımızda anlatmıştık.

Açığın işleyişi

Açığı bulan ve 24 Temmuz’da Oracle’a bildiren güvenlik şirketi Horizon3.ai’ye göre CVE-2026-101767, E-Business Suite’teki Thin Client Framework (TCF) servlet’inde bulunan ve giriş gerektirmeyen bir SQL injection açığı. Saldırıya açık adres /OA_HTML/AppsTCFServer ve bu adrese E-Business Suite’in varsayılan URL güvenlik duvarı ayarında erişime izin veriliyor.

Horizon3.ai’ye göre bu servlet’e ağ üzerinden erişebilen bir saldırgan, özel hazırlanmış bir istekle veritabanında APPS kullanıcısının yetkileriyle SQL komutu çalıştırabiliyor. Saldırı zinciri, sunucuda E-Business Suite uygulama hesabının yetkileriyle işletim sistemi komutu çalıştırmaya da imkân veriyor. Şirket, kuruluma göre finans, bordro, insan kaynakları ve satın alma kayıtlarının etkilenebileceğini belirtiyor. İnternete açık E-Business Suite sunucuları en doğrudan risk altında. Ancak şirkete göre ele geçirilmiş başka bir sistemden bu servlet’e ulaşılabiliyorsa iç ağdaki kurulumlar da risk altında.

İlk denemeler

SecurityWeek’e göre Defused bu denemeleri X’te yaptığı bir paylaşımla duyurdu ve bunlar açığa yönelik görülen ilk istismar denemeleri. Yine SecurityWeek’e göre bu denemeler dışında açığın saldırılarda kullanıldığına dair başka bir bildirim yok. BleepingComputer’a göre internet tarama kuruluşu Shadowserver internete açık 670’ten fazla E-Business Suite sunucusu sayıyor, ancak bunların kaçının tuzak sistem olduğunu ya da güncellendiğini belirtmiyor.

E-Business Suite daha önce de saldırıların hedefi oldu. BleepingComputer’ın hatırlattığına göre Clop grubu Ağustos 2025’ten itibaren E-Business Suite’teki başka bir açığı, CVE-2025-61882’yi sıfırıncı gün olarak kullandı. Bu saldırılarda hedef alınanlar arasında Logitech, GlobalLogic ve Washington Post da vardı.

Etkilenen sürümler

Oracle E-Business Suite 12.2.3 ile 12.2.15 arası (12.2.15 dahil) sürümlerde Application Object Library ürünü. Düzeltme Oracle’ın Ekim 2026 kritik yama güncellemesinde. Horizon3.ai’ye göre yama belgeleri My Oracle Support’taki KA923 numaralı notta yer alıyor.

Önerilen önlemler

1. Oracle’ın Ekim 2026 kritik yama güncellemesindeki E-Business Suite yamalarını uygulayın.

Horizon3.ai, yamalar uygulanana kadar şu adımları öneriyor ve bunların riski azalttığını ama yamanın yerini tutmadığını belirtiyor:

• /OA_HTML/AppsTCFServer adresini (oracle.apps.fnd.tcf.SocketServer) E-Business Suite URL güvenlik duvarının izin listesinden çıkarın.
• E-Business Suite web katmanına erişimi güvenilir ağlarla sınırlayın.
• Uygulama sunucusunu ve veritabanını ele geçirme belirtileri için izleyin.

Şirketin paylaştığı ele geçirme belirtileri şunlar: /OA_HTML/AppsTCFServer adresine yapılan ve Gantt veri sunucusu sınıfını (oracle.apps.jtf.gantt.server.GanttDataServer) çağıran kimlik doğrulamasız POST istekleri ve ardından gelen veritabanı etkinliği, kimlik doğrulamasız web isteklerinin hemen ardından yapılan veritabanı sürümü, mevcut kullanıcı ve dizin nesneleri sorguları, $APPLPTMP dizininde beklenmeyen dosyalar ve oracle hesabının Concurrent Manager üzerinden /bin/sh çalıştırması.