W systemie Oracle E-Business Suite (EBS) wykryto krytyczną lukę typu SQL injection, oznaczoną jako CVE-2026-101767. Błąd znajduje się w module Application Object Library i posiada bardzo wysoki wskaźnik CVSS wynoszący 9.8. Luka pozwala nieautoryzowanym napastnikom na zdalne wykonanie kodu (RCE) poprzez protokół HTTP, co w praktyce może prowadzić do całkowitego przejęcia kontroli nad tym komponentem.
Firma Defused poinformowała, że pierwsze próby wykorzystania tej podatności odnotowano 27 października. Choć Oracle wydało już poprawkę w ramach październikowej aktualizacji CPU, hakerzy aktywnie przeszukują sieć w poszukiwaniu podatnych instancji. Luka została pierwotnie odkryta i zgłoszona przez zespół Horizon3.ai.
Systemy Oracle EBS są częstym celem ataków grup ransomware i innych grup APT. W przeszłości podobne błędy pozwalały na masowe infekcje w wielu sektorach gospodarki, od finansów po przemysł ciężki. W związku z trwającymi skanowaniami, administratorzy powinni niezwłocznie zweryfikować status swoich systemów.
