Oracle E-Business Suite: Lỗ hổng RCE nghiêm trọng bị khai thác
"A critical remote code execution (RCE) vulnerability (CVE-2026-101767, CVSS 9.8) exists in Oracle E-Business Suite's Application Object Library. The vulnerability is an unauthenticated SQL injection in the Thin Client Framework servlet, allowing attackers to execute commands on the application host. Mitigation involves patching, removing the vulnerable servlet from the firewall allowlist, restricting network access, and monitoring for compromise."
Lỗ hổng RCE cho phép kẻ tấn công chiếm quyền điều khiển hệ thống, gây ra mất dữ liệu và gián đoạn dịch vụ.
Các doanh nghiệp sử dụng Oracle E-Business Suite có thể gặp phải thiệt hại tài chính và mất uy tín nếu bị khai thác lỗ hổng này. Việc khắc phục có thể tốn kém và gây gián đoạn hoạt động.
Oracle E-Business Suite (EBS) đang bị tấn công khai thác lỗ hổng thực thi mã từ xa (RCE) mới được vá (CVE-2026-101767, CVSS 9.8). Defused Cyber ghi nhận các hoạt động dò tìm khai thác lỗ hổng này chỉ vài ngày sau khi Oracle phát hành bản vá bảo mật.
Lỗ hổng nằm trong thư viện đối tượng ứng dụng Oracle EBS. Các nhà nghiên cứu bảo mật Brandon Peterson, Jimi Sebree và Noah King của Horizon3.ai đã phát hiện và báo cáo lỗ hổng cho Oracle từ ngày 24/7/2026.
Defused Cyber cho biết lỗ hổng là lỗi SQL injection không cần xác thực trong servlet Thin Client Framework, có thể dẫn đến thực thi mã từ xa. Horizon3.ai mô tả đây là lỗ hổng SQL injection cho phép kẻ tấn công thực thi SQL với quyền của người dùng APPS, sau đó chạy lệnh hệ điều hành với quyền của tài khoản ứng dụng EBS.
Kẻ tấn công có thể gửi yêu cầu được tạo ra tới servlet TCF tại /OA_HTML/AppsTCFServer để thực thi SQL và chiếm quyền điều khiển hệ thống. Việc khai thác thành công có thể cho phép đọc hoặc sửa đổi dữ liệu ứng dụng và thực thi lệnh trên máy chủ. Horizon3.ai cảnh báo dữ liệu bị ảnh hưởng có thể bao gồm thông tin tài chính, nhân sự, và mua sắm.
Các hệ thống EBS hướng ra Internet có rủi ro cao nhất, nhưng các hệ thống nội bộ cũng có thể bị tấn công nếu kẻ tấn công có thể truy cập servlet từ một hệ thống bị xâm nhập hoặc một phân đoạn mạng khác. Oracle khuyến nghị cập nhật lên phiên bản mới nhất. Nếu không thể vá ngay lập tức, hãy loại bỏ /OA_HTML/AppsTCFServer khỏi danh sách cho phép của tường lửa, hạn chế quyền truy cập vào web tier, và giám sát hệ thống EBS để phát hiện dấu hiệu xâm nhập. Horizon3.ai cung cấp các chỉ số xâm nhập (IOC) để phát hiện hoạt động khai thác.
Đây không phải là lỗ hổng duy nhất trong EBS bị khai thác gần đây. Trong năm qua, hai lỗ hổng nghiêm trọng khác (CVE-2025-61882 và CVE-2026-46817) cũng bị tấn công, trong đó CVE-2025-61882 được nhóm Cl0p sử dụng để tống tiền.
Câu hỏi thường gặp
CVE-2026-101767 là gì?
CVE-2026-101767 là một lỗ hổng thực thi mã từ xa (RCE) trong Oracle E-Business Suite. Lỗ hổng này cho phép kẻ tấn công thực thi lệnh trên máy chủ ứng dụng.
Ai đã phát hiện ra lỗ hổng này?
Các nhà nghiên cứu bảo mật Brandon Peterson, Jimi Sebree và Noah King của Horizon3.ai đã phát hiện và báo cáo lỗ hổng này cho Oracle vào ngày 24/7/2026.
Làm thế nào để khắc phục lỗ hổng này?
Oracle khuyến nghị cập nhật lên phiên bản mới nhất của E-Business Suite. Nếu không thể vá ngay lập tức, hãy loại bỏ /OA_HTML/AppsTCFServer khỏi danh sách cho phép của tường lửa và hạn chế quyền truy cập.
Góc nhìn của Orange Cloud
Theo chúng tôi, lỗ hổng này đặc biệt đáng chú ý với các doanh nghiệp Việt Nam sử dụng Oracle E-Business Suite, đặc biệt là các tổ chức tài chính và chính phủ. Việc vá lỗi ngay lập tức là cần thiết để ngăn chặn các cuộc tấn công tiềm ẩn. Các doanh nghiệp nên xem xét việc kiểm tra nhật ký hệ thống để tìm các dấu hiệu xâm nhập, đặc biệt là các yêu cầu tới /OA_HTML/AppsTCFServer.