Co se stalo
Oracle vydal 20. října 2026 pravidelný čtvrtletní balík bezpečnostních oprav (Critical Patch Update) a jeho součástí je i oprava kritické chyby CVE-2026-101767. Týká se modulu Oracle Application Object Library, který tvoří jádro podnikového systému Oracle E-Business Suite (EBS). Jde o rozsáhlý ERP systém, ve kterém firmy vedou finance, mzdy, personalistiku nebo nákup.
Chybu objevili Brandon Peterson, Jimi Sebree a Noah King ze společnosti Horizon3.ai a Oraclu ji nahlásili 24. července 2026. Podle Horizon3.ai může útočník bez přihlášení podstrčit databázi vlastní příkazy a následně spouštět příkazy i na samotném serveru.
Firma Defused, která provozuje návnadové systémy (honeypoty) napodobující EBS, oznámila, že na nich 27. října 2026 ráno zaznamenala první průzkumné pokusy o zneužití. Informovaly o tom The Hacker News i Help Net Security. Chyba k 29. říjnu 2026 není v katalogu CISA KEV a ani evropská databáze EUVD zneužití zatím neeviduje.
EBS je pro útočníky dlouhodobě zajímavý cíl. Chybu CVE-2025-61882 v roce 2025 zneužila skupina Cl0p ke krádeži dat a v červnu 2026 Defused zachytila pokusy o zneužití chyby CVE-2026-46817 v modulu Oracle Payments.
Proč je to nebezpečné
Chyba je zařazená mezi chyby ověřování (CWE-287 a CWE-306): část systému, která by měla nejdřív zjistit, kdo se na ni obrací, toto ověření nedělá. Horizon3.ai ji popisuje jako SQL injection, tedy útočník pošle upravený požadavek a systém ho provede jako příkaz pro databázi.
Představte si podatelnu, která přijme jakýkoli dopis bez kontroly odesílatele a pokyny v něm rovnou pošle do archivu k vyřízení. Podle Horizon3.ai útočník takto spouští SQL příkazy s oprávněními databázového uživatele APPS a odtud se dostane až k příkazům operačního systému pod účtem, pod kterým EBS běží.
- Přihlášení: útočník nepotřebuje jméno ani heslo.
- Cesta útoku: stačí síťový přístup k webové části EBS přes HTTP. Nejvíc jsou ohrožené systémy dostupné z internetu, ale podle The Hacker News i interní, pokud se útočník dostane do sítě například přes jiný napadený počítač.
- Dopad: podle Horizon3.ai čtení a změna dat dostupných účtu APPS (finanční, mzdové, personální a nákupní záznamy) a spouštění příkazů na aplikačním serveru v rozsahu oprávnění účtu EBS.
Skóre CVSS vyjadřuje závažnost chyby na stupnici 0 až 10. Oracle přidělil této chybě 9,8 podle CVSS 3.1, což je kritická úroveň. EPSS odhaduje pravděpodobnost zneužití v příštích 30 dnech: k 29. říjnu 2026 je to asi 0,6 %, víc než u zhruba poloviny známých chyb. Toto číslo reaguje na nové útoky se zpožděním, takže ho neberte jako uklidnění.
Koho se to týká
Oracle uvádí jako dotčené podporované verze Oracle E-Business Suite 12.2.3 až 12.2.15, konkrétně modul Oracle Application Object Library (komponenta Core). Ohrožené jsou instalace, které ještě nemají říjnovou Critical Patch Update 2026.
EBS najdete spíš ve středních a větších firmách, v dceřiných společnostech nadnárodních koncernů, ve veřejném sektoru nebo u partnerů, kteří ho spravují pro klienty. Běží ve vlastním datovém centru, u hostingového partnera nebo v cloudu a jeho webová část bývá zpřístupněná zaměstnancům, dodavatelům či partnerům i z internetu. Společnost Censys ve zprávě z 28. října 2026 napočítala na internetu 2 246 webových služeb s EBS. Každý název hostitele a port počítá zvlášť, takže samotných serverů je méně. Kolik z nich je zranitelných, Censys určit neumí.
Pokud EBS nepoužíváte, tato chyba se vás netýká. Samotná databáze Oracle ani jiné produkty Oracle v tomto oznámení nejsou uvedené jako dotčené. O starších, nepodporovaných verzích EBS se Oracle nevyjadřuje, proto je berte jako ohrožené.
Jak zjistit, zda jste zasaženi
Nejdřív zjistěte, zda EBS provozujete a zda je jeho webová část dostupná z internetu. Verzi zjistíte v databázi tímto dotazem, který pouze čte data:
SELECT release_name FROM apps.fnd_product_groups;Pokud je výsledek v rozsahu 12.2.3 až 12.2.15, jde o dotčenou verzi. Zda je aplikovaná říjnová oprava, ověřte podle čísel patchů z dokumentace Oracle ke Critical Patch Update z října 2026. Seznam nainstalovaných patchů zobrazí tento dotaz:
SELECT bug_number, last_update_date FROM ad_bugs ORDER BY last_update_date DESC;Projděte i přístupové logy webového serveru (Oracle HTTP Server) a hledejte požadavky POST na /OA_HTML/AppsTCFServer. V EBS 12.2 bývají logy v adresáři $IAS_ORACLE_HOME/instances/*/diagnostics/logs/OHS/, cesta se ale může lišit. Příkaz spusťte jako vlastník aplikační vrstvy po načtení prostředí EBS. Pouze čte a prohledá i starší komprimované logy:
zgrep -iE 'POST [^ ]*/OA_HTML/AppsTCFServer' "$IAS_ORACLE_HOME"/instances/*/diagnostics/logs/OHS/*/access_log*Samotný záznam ještě nedokazuje útok. Všímejte si hlavně požadavků z neznámých adres a porovnejte je s indikátory v sekci o napadení.
Jak to opravit
Oracle chybu opravil v rámci Critical Patch Update z 20. října 2026. Číslo opravené verze v popisu chyby neuvádí, rozhodující je mít nainstalované říjnové opravy. Oracle upozorňuje, že útočníci v některých případech uspěli právě proto, že firmy dostupné opravy neaplikovaly. Doporučuje zůstat na podporovaných verzích a opravovat bez odkladu.
- Zjistěte, které instance EBS jsou dostupné z internetu nebo od partnerů. Ty řešte jako první.
- Pokud opravu nemůžete nasadit hned, podle Horizon3.ai odstraňte
/OA_HTML/AppsTCFServer(třídaoracle.apps.fnd.tcf.SocketServer) ze seznamu povolených adres v URL firewallu EBS a omezte přístup k webové vrstvě EBS jen na důvěryhodné sítě, například přes VPN. - Stáhněte si z portálu My Oracle Support dokumentaci a patche k říjnové Critical Patch Update 2026 pro vaši verzi EBS.
- Opravu otestujte na testovacím prostředí, pokud ho máte, a pak ji nasaďte do produkce běžným postupem (online patchování nástrojem
adop). - Po aktualizaci ověřte, že jsou patche aplikované, a zkontrolujte, zda systém nenese známky napadení (viz následující sekce).
Dočasná opatření opravu nenahrazují. Jen snižují riziko, dokud ji nenasadíte.
Co když už jste mohli být napadeni
Pokud byl váš EBS dostupný z internetu a nebyl opravený, společnost Censys doporučuje prověřit, zda nenese známky napadení. Horizon3.ai zveřejnila tyto indikátory:
- Požadavky POST bez přihlášení na
/OA_HTML/AppsTCFServer, které vytvářejí tříduoracle.apps.jtf.gantt.server.GanttDataServer, a po nich aktivita v databázi. - Průzkumné SQL dotazy krátce po nepřihlášených webových požadavcích, například zjišťování verze databáze, aktuálního uživatele nebo adresářových objektů (directory objects).
Zkontrolujte také nové nebo změněné soubory a neobvyklé procesy pod účtem, pod kterým EBS běží, neznámé účty v EBS a neobvyklá odchozí spojení ze serveru. Pokud něco najdete, zachovejte logy, nemažte podezřelé soubory a přizvěte odborníka na řešení incidentů. Protože může jít o mzdové a personální údaje, myslete i na povinnost podle GDPR ohlásit únik Úřadu pro ochranu osobních údajů do 72 hodin.