Проверка подлинности в ядре библиотеки Oracle Application Object Library, входящей в корпоративную систему Oracle E-Business Suite, не срабатывает для части критичных функций. Пользователь без учётной записи может подключиться к системе по сети и выполнить произвольный код. Уязвимость CVE-2026-101767 затрагивает сборки с 12.2.3 по 12.2.15 включительно. Оценка по CVSS 3.1 достигает 9,8 из 10, уровень опасности Банк данных угроз безопасности информации (BDU) и вендор определяют как критический.
Уязвимость CVE-2026-101767 в Oracle E-Business Suite
В основе проблемы два типа ошибок: неправильная аутентификация и отсутствие проверки подлинности для критичной функции. Говоря проще, часть ядра системы обрабатывает обращения, не выяснив, кто их отправил. Ни логин, ни пароль, ни иные учётные данные не нужны. Атакующий обращается к сетевому интерфейсу продукта напрямую. Вектор атаки - сетевой, сложность низкая, привилегии не требуются, участие пользователя тоже.
Дальше открывается выполнение кода на серверах приложений E-Business Suite и полный контроль над ними. На практике это доступ к финансовой отчётности, кадровым записям, заказам и счетам, а также возможность менять эти сведения и создавать новых пользователей с административными правами. Библиотека Application Object Library отвечает за общую логику работы приложений и за разграничение доступа, поэтому обход проверки в её ядре затрагивает сразу все модули комплекса, а не один из них.
Повышает ставки публичный эксплойт - вредоносный код, использующий уязвимость. Две рабочие реализации выложены на GitHub, то есть воспользоваться ошибкой может не только автор находки. Уязвимость выявлена 20 октября 2026 года, год спустя после публичного раскрытия подобных проблем в том же компоненте. Эксплуатация не требует ни сложной подготовки, ни знания внутренних паролей: достаточно сетевого доступа к интерфейсу системы.
Oracle E-Business Suite - платформа автоматизации деятельности предприятия. На ней держатся бухгалтерия, снабжение, производственные заказы и расчёты с персоналом крупных компаний, включая промышленные холдинги и организации госсектора. Такой контур редко выглядит как одна инсталляция: обычно это несколько серверов приложений, база данных и интеграционные шины. Ошибка в общем ядре означает, что закрывать её приходится во всех узлах сразу, и частичное обновление оставляет лазейку.
Исправление Oracle включила в октябрьский набор Critical Patch Update. Вендор подтвердил существование уязвимости, а в BDU запись BDU:2026-17848 уже числится закрытой обновлением программного обеспечения. Отдельных обходных мер, кроме установки патча, Oracle не предлагает.
Администраторам стоит поставить октябрьский набор обновлений на все серверы приложений E-Business Suite, не дожидаясь планового окна обслуживания. Если немедленная установка невозможна, доступ к веб-интерфейсу из интернета стоит ограничить, оставив только доверенные адреса и корпоративный сегмент. Полезно просмотреть журналы обращений к системе за период с 20 октября: аномальные запросы без предварительной авторизации могут указывать на попытки эксплуатации. Проверка учётных записей с административными правами тоже не помешает, особенно тех, что появились в последние недели.
Публичный эксплойт и максимальные оценки по обоим векторам складываются в простую картину. Ошибка не требует от атакующего ни хитрости, ни доступа к внутренней сети организации, а её последствия распространяются на весь учётный контур предприятия. Пауза с обновлением в таком случае обходится дороже, чем окно обслуживания.
Ссылки
- https://bdu.fstec.ru/vul/2026-17848
- https://www.cve.org/CVERecord?id=CVE-2026-101767
- https://github.com/0xBlackash/CVE-2026-101767
- https://www.oracle.com/security-alerts/cpuoct2026.html
- https://github.com/seck19/CVE-2026-101767-POC
