Oracle E-Business Suite в версиях с 12.2.3 по 12.2.15 содержит 194 уязвимости. Максимальная базовая оценка по шкале CVSS 3.1 равна 10.0. Атака проходит по сети через HTTP, и для части проблем учётные данные не нужны. Последствия зависят от компонента: чтение, создание, изменение и удаление критичных данных, удалённое исполнение кода и полный отказ в обслуживании.
Сетевые атаки без аутентификации и локальный вектор в 194 CVE
Оценку 10.0 имеет CVE-2026-101809 в компоненте Workflow Notification Mailer. Вход в систему для эксплуатации не нужен, достаточно сетевого доступа по HTTP. Проблема выходит за границы компонента и затрагивает смежные продукты, по терминологии CVSS это смена области действия. Второй по величине балл 9.8 у CVE-2026-101767 в Oracle Application Object Library, здесь аутентификация тоже не требуется. Всего двенадцать уязвимостей из опубликованного перечня обходятся без учётных данных, и четыре имеют оценку выше 9.0.
Компоненты с низкими привилегиями и участием пользователя
Большая часть набора требует действующей учётной записи. Привилегии при этом низкие, поэтому одного сотрудника с минимальными правами хватает для атаки. Для отдельных уязвимостей нужно действие человека в интерфейсе, то есть пользователь, отличный от атакующего. Затронуты Oracle Product Hub, Oracle Applications Manager, Oracle Mobile Field Service, iSupport, Oracle EDI Gateway, Oracle Marketing, Oracle Quality, Document Management and Collaboration и Oracle E-Business Suite Integrated SOA Gateway. Самая частая оценка в наборе - 8.8, она описывает полную потерю конфиденциальности, целостности и доступности в пределах компонента. Уязвимость в Oracle Mobile Field Service с оценкой 9.1 вдобавок приводит к зависанию или повторяемому сбою сервиса.
Локальный вектор в Oracle Concurrent Processing
Один случай отличается от остальных. Уязвимость в Oracle Concurrent Processing требует входа в инфраструктуру, где выполняется компонент, и высокой привилегии. Вектор атаки локальный, однако последствия затрагивают смежные продукты. Ещё одна проблема в Oracle Call Center Technology открывается по сети через RMI (удалённый вызов методов Java) и обходится без аутентификации, хотя сложность эксплуатации выше средней. Класс проблемы в описании набора обозначен как отсутствие аутентификации для критичной функции, то есть проверка прав на важном участке кода не выполняется вовсе.
Исправление в критическом обновлении Oracle от октября 2026
Oracle собрала исправления в критическом обновлении за октябрь 2026 года. Обновление закрывает всю ветку 12.2.3-12.2.15, отдельные номера версий для неё не вводятся. Порядок установки описан в документе KA923 в My Oracle Support, документ доступен клиентам с действующим контрактом на поддержку. Набор кумулятивный, поэтому его ставят на все узлы приложения и базы, где развёрнуты затронутые компоненты.
Сведений об эксплуатации этих уязвимостей в реальных атаках в бюллетене нет. О публичном эксплойте данных тоже нет. Oracle выпускает для E-Business Suite ежеквартальные наборы исправлений, и 194 идентификатора относятся к одному такому набору.
Пока обновление не установлено, доступ к HTTP-интерфейсам Workflow Notification Mailer, Mobile Field Service, Integrated SOA Gateway и Applications Manager ограничивают доверенным сегментом сети. Неиспользуемые компоненты отключают. Права учётных записей проверяют, поскольку лишние привилегии расширяют поверхность атаки. Обращения к перечисленным интерфейсам фиксируют в журналах и сверяют с обычным профилем нагрузки, чтобы заметить запросы без аутентификации.
194 уязвимости в одном наборе, оценки до 10.0 и атаки без учётных данных делают октябрьское обновление единственным способом закрыть перечисленные проблемы в ветке 12.2.3-12.2.15. Задержка с установкой оставляет сетевые интерфейсы E-Business Suite открытыми для запросов без аутентификации.
Ссылки
