W Oracle E-Business Suite (EBS) wykryto krytyczną podatność CVE-2026-101767 o wysokiej ocenie CVSS wynoszącej 9.8. Błąd znajduje się w bibliotece Oracle Application Object Library i dotyczy serwletu Thin Client Framework (TCF). Luka umożliwia nieautoryzowane wstrzyknięcie kodu SQL, co w połączeniu z mechanizmami systemu pozwala na zdalne wykonanie poleceń systemowych z uprawnieniami konta aplikacji EBS.
Atakujący mogą uzyskać dostęp do wrażliwych danych finansowych, kadrowych oraz płacowych, a także przejąć kontrolę nad hostem aplikacji. Choć największe ryzyko dotyczy systemów wystawionych bezpośrednio na świat, zagrożone są również sieci wewnętrzne. Eksperci odnotowali już pierwsze próby eksploatacji tej luki tuż po opublikowaniu przez Oracle odpowiednich poprawek.
Aby się chronić, administratorzy powinni jak najszybciej zainstalować najnowszą aktualizację. W przypadku braku możliwości natychmiastowego patchowania zaleca się usunięcie ścieżki /OAHTML/AppsTCFServer z białych list firewalli oraz ograniczenie dostępu do warstwy webowej EBS wyłącznie do zaufanych sieci.
