Čo sa stalo
Oracle vydal 20. októbra 2026 pravidelný štvrťročný balík bezpečnostných opráv (Critical Patch Update) a jeho súčasťou je aj oprava kritickej chyby CVE-2026-101767. Týka sa modulu Oracle Application Object Library, ktorý tvorí jadro podnikového systému Oracle E-Business Suite (EBS). Ide o rozsiahly ERP systém, v ktorom firmy vedú financie, mzdy, personalistiku či nákup.
Chybu objavili Brandon Peterson, Jimi Sebree a Noah King zo spoločnosti Horizon3.ai a Oraclu ju nahlásili 24. júla 2026. Podľa Horizon3.ai môže útočník bez prihlásenia podstrčiť databáze vlastné príkazy a následne spúšťať príkazy aj na samotnom serveri.
Firma Defused, ktorá prevádzkuje návnadové systémy (honeypoty) napodobňujúce EBS, oznámila, že na nich 27. októbra 2026 ráno zaznamenala prvé prieskumné pokusy o zneužitie. Informovali o tom The Hacker News aj Help Net Security. Chyba k 29. októbru 2026 nie je v katalógu CISA KEV a ani európska databáza EUVD zneužitie zatiaľ neeviduje.
EBS je pre útočníkov dlhodobo zaujímavý cieľ. Chybu CVE-2025-61882 v roku 2025 zneužila skupina Cl0p na krádež dát a v júni 2026 Defused zachytila pokusy o zneužitie chyby CVE-2026-46817 v module Oracle Payments.
Prečo je to nebezpečné
Chyba je zaradená medzi chyby overovania (CWE-287 a CWE-306): časť systému, ktorá by mala najprv zistiť, kto sa na ňu obracia, toto overenie nerobí. Horizon3.ai ju opisuje ako SQL injection, teda útočník pošle upravenú požiadavku a systém ju vykoná ako príkaz pre databázu.
Predstavte si podateľňu, ktorá prijme akýkoľvek list bez kontroly odosielateľa a pokyny v ňom rovno pošle do archívu na vybavenie. Podľa Horizon3.ai útočník takto spúšťa SQL príkazy s oprávneniami databázového používateľa APPS a odtiaľ sa dostane až k príkazom operačného systému pod účtom, pod ktorým EBS beží.
- Prihlásenie: útočník nepotrebuje meno ani heslo.
- Cesta útoku: stačí sieťový prístup k webovej časti EBS cez HTTP. Najviac sú ohrozené systémy dostupné z internetu, no podľa The Hacker News aj interné, ak sa útočník dostane do siete napríklad cez iný napadnutý počítač.
- Dopad: podľa Horizon3.ai čítanie a zmena dát dostupných účtu APPS (finančné, mzdové, personálne a nákupné záznamy) a spúšťanie príkazov na aplikačnom serveri v rozsahu oprávnení účtu EBS.
Skóre CVSS vyjadruje závažnosť chyby na stupnici 0 až 10. Oracle pridelil tejto chybe 9,8 podľa CVSS 3.1, čo je kritická úroveň. EPSS odhaduje pravdepodobnosť zneužitia v najbližších 30 dňoch: k 29. októbru 2026 je to asi 0,6 %, viac než pri zhruba polovici známych chýb. Toto číslo reaguje na nové útoky s oneskorením, takže ho neberte ako upokojenie.
Koho sa to týka
Oracle uvádza ako dotknuté podporované verzie Oracle E-Business Suite 12.2.3 až 12.2.15, konkrétne modul Oracle Application Object Library (komponent Core). Ohrozené sú inštalácie, ktoré ešte nemajú októbrovú Critical Patch Update 2026.
EBS nájdete skôr v stredných a väčších firmách, v dcérskych spoločnostiach nadnárodných koncernov, vo verejnom sektore alebo u partnerov, ktorí ho spravujú pre klientov. Beží vo vlastnom dátovom centre, u hostingového partnera alebo v cloude a jeho webová časť býva sprístupnená zamestnancom, dodávateľom či partnerom aj z internetu. Spoločnosť Censys v správe z 28. októbra 2026 napočítala na internete 2 246 webových služieb s EBS. Každý názov hostiteľa a port počíta zvlášť, takže samotných serverov je menej. Koľko z nich je zraniteľných, Censys určiť nevie.
Ak EBS nepoužívate, táto chyba sa vás netýka. Samotná databáza Oracle ani iné produkty Oracle v tomto oznámení nie sú uvedené ako dotknuté. O starších, nepodporovaných verziách EBS sa Oracle nevyjadruje, preto ich berte ako ohrozené.
Ako zistiť, či ste zasiahnutí
Najprv zistite, či EBS prevádzkujete a či je jeho webová časť dostupná z internetu. Verziu zistíte v databáze týmto dotazom, ktorý iba číta údaje:
SELECT release_name FROM apps.fnd_product_groups;Ak je výsledok v rozsahu 12.2.3 až 12.2.15, ide o dotknutú verziu. Či je aplikovaná októbrová oprava, overte podľa čísiel patchov z dokumentácie Oracle k Critical Patch Update z októbra 2026. Zoznam nainštalovaných patchov zobrazí tento dotaz:
SELECT bug_number, last_update_date FROM ad_bugs ORDER BY last_update_date DESC;Prezrite aj prístupové logy webového servera (Oracle HTTP Server) a hľadajte požiadavky POST na /OA_HTML/AppsTCFServer. V EBS 12.2 bývajú logy v adresári $IAS_ORACLE_HOME/instances/*/diagnostics/logs/OHS/, cesta sa však môže líšiť. Príkaz spustite ako vlastník aplikačnej vrstvy po načítaní prostredia EBS. Iba číta a prehľadá aj staršie skomprimované logy:
zgrep -iE 'POST [^ ]*/OA_HTML/AppsTCFServer' "$IAS_ORACLE_HOME"/instances/*/diagnostics/logs/OHS/*/access_log*Samotný záznam ešte nedokazuje útok. Všímajte si najmä požiadavky z neznámych adries a porovnajte ich s indikátormi v sekcii o napadnutí.
Ako to opraviť
Oracle chybu opravil v rámci Critical Patch Update z 20. októbra 2026. Číslo opravenej verzie v popise chyby neuvádza, rozhodujúce je mať nainštalované októbrové opravy. Oracle upozorňuje, že útočníci v niektorých prípadoch uspeli práve preto, že firmy dostupné opravy neaplikovali. Odporúča zostať na podporovaných verziách a opravovať bez odkladu.
- Zistite, ktoré inštancie EBS sú dostupné z internetu alebo od partnerov. Tie riešte ako prvé.
- Ak opravu nemôžete nasadiť hneď, podľa Horizon3.ai odstráňte
/OA_HTML/AppsTCFServer(triedaoracle.apps.fnd.tcf.SocketServer) zo zoznamu povolených adries v URL firewalle EBS a obmedzte prístup k webovej vrstve EBS len na dôveryhodné siete, napríklad cez VPN. - Stiahnite si z portálu My Oracle Support dokumentáciu a patche k októbrovej Critical Patch Update 2026 pre vašu verziu EBS.
- Opravu otestujte na testovacom prostredí, ak ho máte, a potom ju nasaďte do produkcie bežným postupom (online patchovanie nástrojom
adop). - Po aktualizácii overte, že patche sú aplikované, a skontrolujte systém na znaky napadnutia podľa nasledujúcej sekcie.
Dočasné opatrenia opravu nenahrádzajú. Len znižujú riziko, kým ju nenasadíte.
Čo ak už ste mohli byť napadnutí
Ak bol váš EBS dostupný z internetu a nebol opravený, spoločnosť Censys odporúča preveriť ho na znaky napadnutia. Horizon3.ai zverejnila tieto indikátory:
- Požiadavky POST bez prihlásenia na
/OA_HTML/AppsTCFServer, ktoré vytvárajú trieduoracle.apps.jtf.gantt.server.GanttDataServer, a po nich aktivita v databáze. - Prieskumné SQL dotazy krátko po neprihlásených webových požiadavkách, napríklad zisťovanie verzie databázy, aktuálneho používateľa alebo adresárových objektov (directory objects).
Skontrolujte aj nové alebo zmenené súbory a nezvyčajné procesy pod účtom, pod ktorým EBS beží, neznáme účty v EBS a neobvyklé odchádzajúce spojenia zo servera. Ak niečo nájdete, zachovajte logy, nemažte podozrivé súbory a prizvite odborníka na riešenie incidentov. Keďže môže ísť o mzdové a personálne údaje, myslite aj na povinnosť podľa GDPR oznámiť únik Úradu na ochranu osobných údajov SR do 72 hodín.