Oracle E-Business Suite’te Yama Yapıldıktan Sonra Ortaya Çıkan Kritik Uzaktan Kod Çalıştırma Açığı Hackerların Hedefine Sığıyor.

Görsel Kaynağı: The Hacker News

Tehlike aktörleri, Oracle E-Business Suite (EBS) için yeni güncellenmiş kritik bir açıkları avlamaya başladı; bu bilgi, zeka şirketi Defused Cyber tarafından verildi.

Söz konusu açıklar CVE-2026-101767 (CVSS puanı: 9.8) , Oracle E-Business Suite’in Oracle Application Object Library’indeki uygunsuz kimlik doğrulama durumudur. Oracle, kritik yama güncellemesi kapsamında geçen hafta bu açığı kapattı.

Horizon3.ai’dan güvenlik araştırmacıları Brandon Peterson, Jimi Sebree ve Noah King, açığı keşfettikleri ve Oracle’a 24 Temmuz 2026’da bildirdikleri için takdir edildi.

“Oracle E-Business Suite tuzak sistemlerimiz, bu sabah, 27 Ekim tarihinde, EBS’nin Thin Client Framework servlet’indeki uzak kod yürütme’ye zincirlenen kimlik doğrulanmamış bir SQL enjeksiyonu olan CVE-2026-101767’ye yönelik keşif amaçlı saldırılar kaydetti,” Defused Cyber, X platformundaki paylaşımda belirtti.

Açık için verdiği uyarıda Horizon3.ai, bunu uzak kod yürütme’ye ulaşmak için zincirlenebilen kimlik doğrulanmamış bir SQL enjeksiyonu açığı olarak tanıttı.

“Açık, etkilenmiş Thin Client Framework (TCF) servlet’ine ağ erişimi olan bir saldırgana, APPS veritabanı kullanıcısı olarak SQL çalıştırma, ardından EBS uygulama hesabı olarak işletim sistemi komutlarını yürütme izni verir,” siber güvenlik şirketi belirtti.

Özellikle, bir saldırgan, APPS veritabanı kullanıcısının ayrıcalıklarıyla SQL çalıştırmak ve nihayetinde EBS uygulama hesabının ayrıcalıklarıyla sistem komutu yürütme’yi etkinleştirmek için zayıf TCF servlet’ine “/OA_HTML/AppsTCFServer” adresinde düzenlenmiş bir istek gönderebilir.

CVE-2026-101767’nin başarılı şekilde sömürülmesi, bir saldırgana APPS tarafından erişilebilen uygulama verilerini okuma veya değiştirme ve uygulama ana bilgisayarında komutları yürütme izini verebilir.

“Dağıtıma bağlı olarak, etkilenmiş veriler finansal, bordro, insan kaynakları ve satın alma kayıtlarını içerebilir. İşletim sistemi erişimi, zayıflatan EBS uygulama hesabının ayrıcalıkları tarafından yönetilir,” Horizon3.ai uyardı.

İnternet erişimi sunan EBS kurulumları en yüksek riski taşırken, iç EBS sistemleri de saldırganın zayıflatılmış bir sistemden veya erişilebilir başka bir ağ segmentinden savunmasız servlet’e ulaşabilmesi durumunda istismar edilebilir.

Kullanıcılara mümkün olan en kısa sürede en güncel sürüme güncelleme yapılması öneriliyor. Anlık yama uygulama seçeneği yoksa, aşağıdaki geçici çözümler uygulanabilir –

• EBS URL güvenlik duvarı izin listesindeki oracle.apps.fnd.tcf.SocketServer ile ilişkili /OA_HTML/AppsTCFServer öğesi kaldırılmalı.
• EBS web katmanına erişim yalnızca güvenilir ağlarla sınırlanmalı.
• EBS uygulama ana bilgisine ve veritabanına yönelik istismar belirtileri açısından izleme yapılmalı.

Horizon3.ai ayrıca aşağıdaki istismar göstergelerini de paylaştı –

• /OA_HTML/AppsTCFServer adresine kimlik doğrulaması yapılmayan POST istekleriyle Gantt veri sunucusu sınıfının (oracle.apps.jtf.gantt.server.GanttDataServer) örneklendiği ve ardından arka plan veritabanı etkinliğinin izlendiği durumlar.
• Kimlik doğrulaması yapılmayan web isteklerinden kısa bir süre sonra SQL keşif faaliyetleri (veritabanı sürümü, geçerli kullanıcı, dizin nesneleri).
• $APPLPTMP içinde beklenmedik dosyalar ve Concurrent Manager aracılığıyla işletim sistemi komutlarını çalıştırmak için /bin/sh başlatan oracle hesabı.

EBS’deki açıklar, saldıranlar için sıcak bir hedef niteliği taşıyor. Geçen yıl içinde, aynı ürüne ait iki kritik açık (CVE-2025-61882 ve CVE-2026-46817, CVSS puanları: 9,8) aktif biçimde istismar edildi; ilk açık, Cl0p fidye yazılımı ve extorsiyon ekibi tarafından kullanıldı.