Oracleがセキュリティパッチを公開してからわずか1週間で、攻撃者はすでに重大なOracle E-Business Suite（EBS）の脆弱性を探索している。
脅威インテリジェンス企業のDefused Cyberは、2026年10月27日にCVE-2026-101767を標的とした試験的な悪用の試みを検知した。CVSSスコアは9.8で、この脆弱性はEBSバージョン12.2.3から12.2.15に影響し、認証されていない攻撃者によるリモートからのコマンド実行を可能にするおそれがある。
この脆弱性は、財務、調達、業務データを扱う企業システムを脅かす。研究者は悪用の試みを確認しているものの、CVE-2026-101767に関連する本番環境の侵害成功例は、現時点で公に確認されていない。
Oracle EBSの脆弱性がリモートコード実行を可能にする仕組み
Defused Cyberは、同社のEBSおとりシステムでこの試みを記録したと、SecurityWeekの10月28日付けの報道は伝えている。この活動は、Oracleが10月20日に公開したクリティカルパッチアップデートに続くものだ。
この脆弱性は、Oracle Application Object LibraryのCoreコンポーネントに存在する。Horizon3.aiの研究者は、7月24日にOracleへこの脆弱性を報告し、Thin Client Framework（TCF）サーブレットに認証不要のSQLインジェクションが存在することを特定した。
サーブレットへのネットワークアクセスを持つ攻撃者は、EBSのAPPSデータベースアカウントの権限でSQL文を実行できる。研究者は、この脆弱性を連鎖させることで、EBSアプリケーションアカウントの権限でOSコマンドを実行できることを実証した。
別の8月に公表されたOracleのSQLインジェクション攻撃では、データベース機能の悪用がリモートコード実行（RCE）につながる可能性が示された。
影響を受けるEBSエンドポイント/OA_HTML/AppsTCFServerは、デフォルトのURLファイアウォール設定で許可されている。悪用されれば、機密記録の流出、データの不正な変更、企業業務の妨害につながるおそれがある。
BleepingComputerは、Shadowserver Foundationがインターネットに公開されたEBSインスタンスを670件以上特定したと報じた。その大半は米国のIPアドレスに関連付けられている。この件数から、パッチ未適用または脆弱なインスタンスがいくつ残っているかを判断することはできない。
影響を受けるOracle EBSのバージョンと緩和策
Oracleの2026年10月のセキュリティアドバイザリでは、影響を受けるバージョンとして12.2.3から12.2.15を挙げている。悪用に認証やユーザー操作は必要なく、攻撃の複雑さも低い。
管理者は、パッチの適用手順についてMy Oracle Support Note KA923を参照すべきだ。Oracleの8月のセキュリティリリースでは943件の脆弱性に対処しており、企業の管理者が直面するパッチ適用の負担の大きさを浮き彫りにしている。
セキュリティチームは、次の6つの対策を優先すべきだ。
- セキュリティパッチを適用し、検証する影響を受ける環境全体に該当する10月のアップデートを適用し、修正が完了したことを確認する。
- 脆弱なエンドポイントを制限するパッチが適用されるまで、
/OA_HTML/AppsTCFServerをURLファイアウォールの許可リストから削除する。Web層へのアクセスは信頼できるネットワークに限定する。 - ネットワークのセグメンテーションとアクセス制御を強化する重要なEBSコンポーネントを分離し、必要な機能を妨げることなく、不要なサービスアカウント権限を見直す。
- 悪用の兆候を監視する不審なサーブレットへのリクエスト、予期しないデータベース活動、不正なファイル、通常とは異なるコマンド実行を調査する。
- 関連システムと復旧準備状況を評価する該当するOracle DatabaseおよびFusion Middlewareのパッチを確認し、バックアップを保護するとともに、復元手順をテストする。
- インシデント対応計画をテストする悪用の調査、ホストの隔離、証拠の保全、サービスの復旧に向けた手順を検証する。
ネットワーク制限でパッチ適用の代わりにはならない。別のファイアウォールの回避を伴うPeopleSoftキャンペーンでは、攻撃者が未修正システムを保護するフィルタリングルールを回避できることが示された。
すでに探索が始まっていることを踏まえ、組織はEBSへのパッチ適用状況を確認し、影響を受けるインストール環境に対する不審な活動を調査すべきだ。
企業の脆弱性露出を確認する組織はSplunkの10月のセキュリティ修正も評価すべきだ。これらは、さらなる重大な脆弱性とリモートコード実行のリスクに対処している。