Tin tặc dò tìm lỗ hổng nghiêm trọng trên Oracle EBS chỉ vài ngày sau khi bản vá được phát hành

Các nhóm đe dọa đã bắt đầu dò tìm một lỗ hổng nghiêm trọng mới được vá trong Oracle E-Business Suite (EBS), chỉ vài ngày sau khi Oracle phát hành bản sửa lỗi. Lỗ hổng này, được xác định là CVE-2026-101767, có điểm CVSS là 9.8 và cho phép thực thi mã từ xa mà không cần xác thực. Công ty bảo mật Defused Cyber báo cáo các nỗ lực khai thác tích cực vào ngày 27 tháng 10 năm 2026, nhấn mạnh tốc độ phản ứng nhanh chóng của tin tặc đối với các bản vá phần mềm doanh nghiệp.

Chuyện gì đã xảy ra

Oracle đã giải quyết khoảng trống bảo mật này trong bản Critical Patch Update được phát hành vào tuần trước. Lỗi nằm trong Oracle Application Object Library, cụ thể liên quan đến các cơ chế xác thực không đúng cách. Các nhà nghiên cứu Brandon Peterson, Jimi Sebree và Noah King từ Horizon3.ai đã phát hiện ra vấn đề và báo cáo cho Oracle vào ngày 24 tháng 7 năm 2026. Mặc dù bản vá đã có sẵn, thông tin tình báo về mối đe dọa cho thấy các tác nhân độc hại đã bắt đầu quét tìm các hệ thống dễ bị tổn thương.

Defused Cyber lưu ý rằng các hệ thống mồi (decoy systems) của họ đã ghi nhận các cuộc tấn công thăm dò nhắm vào lỗ hổng cụ thể này vào sáng ngày 27 tháng 10. Vector tấn công bao gồm việc chèn SQL không cần xác thực trong servlet Thin Client Framework (TCF). Việc xâm nhập ban đầu này có thể được kết hợp để đạt được khả năng thực thi mã từ xa hoàn toàn, trao cho tin tặc quyền kiểm soát đáng kể đối với máy chủ bị ảnh hưởng. Tốc độ xuất hiện của các cuộc dò tìm này nhấn mạnh giá trị cao mà tin tặc đặt vào việc xâm phạm các hệ thống hoạch định nguồn lực doanh nghiệp.

Horizon3.ai giải thích rằng lỗ hổng cho phép một kẻ tấn công có quyền truy cập mạng vào servlet TCF thực thi các lệnh SQL dưới tư cách người dùng cơ sở dữ liệu APPS. Từ đó, kẻ tấn công có thể leo thang đặc quyền để chạy các lệnh hệ điều hành dưới tài khoản ứng dụng EBS. Chuỗi khai thác này bỏ qua các bước kiểm tra xác thực tiêu chuẩn, cho phép những người dùng trái phép tương tác trực tiếp với cơ sở dữ liệu backend và hệ thống host bên dưới.

Chi tiết chính

• ID lỗ hổng: CVE-2026-101767 với điểm mức độ nghiêm trọng CVSS là 9.8.
• Vector tấn công: Chèn SQL không cần xác thực trong servlet Thin Client Framework tại /OA_HTML/AppsTCFServer.
• Tác động: Cho phép thực thi SQL dưới tư cách người dùng APPS và các lệnh OS dưới tài khoản ứng dụng EBS.
• Dữ liệu gặp rủi ro: Hồ sơ tài chính, bảng lương, nhân sự và mua sắm có thể truy cập bởi người dùng cơ sở dữ liệu APPS.
• Phát hiện: Được báo cáo bởi các nhà nghiên cứu Horizon3.ai vào ngày 24 tháng 7 năm 2026; được Oracle vá vào cuối tháng 10 năm 2026.
• Khai thác tích cực: Defused Cyber phát hiện các nỗ lực dò tìm vào ngày 27 tháng 10 năm 2026.

Bối cảnh

Oracle E-Business Suite là một bộ ứng dụng kinh doanh toàn diện được nhiều tổ chức lớn sử dụng để quản lý tài chính, nguồn nhân lực và hoạt động chuỗi cung ứng. Vì nó xử lý dữ liệu nhạy cảm của doanh nghiệp, đây là mục tiêu thường xuyên của tội phạm mạng. Thành phần cụ thể bị ảnh hưởng ở đây, Thin Client Framework, tạo điều kiện giao tiếp giữa giao diện web và cơ sở dữ liệu backend. Khi các biện pháp kiểm soát xác thực trong các framework như vậy thất bại, tin tặc có thể chèn các lệnh SQL độc hại để thao túng hoặc trích xuất dữ liệu mà không cần thông tin đăng nhập hợp lệ.

Thực thi mã từ xa (RCE) là một trong những loại lỗ hổng bảo mật nghiêm trọng nhất. Nó cho phép kẻ tấn công chạy các lệnh tùy ý trên máy chủ lưu trữ ứng dụng. Trong trường hợp này, kẻ tấn công giành được quyền hạn của tài khoản ứng dụng EBS. Mặc dù điều này không phải lúc nào cũng đồng nghĩa với quyền root đầy đủ, nhưng nó đủ để đọc hoặc sửa đổi dữ liệu kinh doanh quan trọng và có thể chuyển hướng sang các phần khác của mạng nội bộ. Các lỗ hổng nghiêm trọng trước đây trong EBS, chẳng hạn như CVE-2025-61882, đã được các nhóm ransomware như Cl0p khai thác, khiến việc vá lỗi kịp thời trở nên thiết yếu.

Tại sao điều này quan trọng

Đối với các đội ngũ quản lý phần mềm doanh nghiệp tự lưu trữ (self-hosted), sự cố này minh họa cho cửa sổ hẹp giữa thời điểm phát hành bản vá và thời điểm bị khai thác tích cực. Tin tặc thường dịch ngược các bản vá để tạo ra các script khai thác trong vòng vài giờ hoặc vài ngày. Nếu tổ chức của bạn chạy Oracle EBS, việc trì hoãn cập nhật sẽ phơi bày dữ liệu tài chính và nhân sự của bạn trước rủi ro tức thì. Ngay cả các instance chỉ dành cho nội bộ cũng dễ bị tổn thương nếu kẻ tấn công giành được chỗ đứng ở nơi khác trong mạng, vì phương thức khai thác không yêu cầu tiếp xúc với internet để thành công một khi đã ở bên trong chu vi bảo vệ.

Bản chất của dữ liệu gặp rủi ro làm tăng thêm tác động. Hồ sơ bảng lương và nhân sự bị xâm phạm có thể dẫn đến trộm cắp danh tính, gian lận và các hình phạt pháp lý đáng kể. Hơn nữa, quyền truy cập hệ điều hành cho phép kẻ tấn công cài đặt backdoor bền vững hoặc ransomware. Đối với các lãnh đạo IT, điều này củng cố nhu cầu về các quy trình quản lý lỗ hổng mạnh mẽ, ưu tiên các bản vá quan trọng cho các ứng dụng hướng tới khách hàng và chứa nhiều dữ liệu. Chỉ dựa vào tường lửa chu vi là không đủ khi lỗ hổng cho phép truy cập không cần xác thực vào các dịch vụ cốt lõi.

Bạn có thể làm gì

• Áp dụng ngay lập tức bản Oracle Critical Patch Update mới nhất để giải quyết CVE-2026-101767.
• Nếu không thể vá lỗi ngay lập tức, hãy xóa /OA_HTML/AppsTCFServer khỏi danh sách cho phép (allowlist) của tường lửa URL.
• Hạn chế quyền truy cập vào lớp web EBS chỉ cho các mạng tin cậy, chặn truy cập từ bên ngoài.
• Giám sát máy chủ ứng dụng EBS và cơ sở dữ liệu của bạn để tìm kiếm các hoạt động bất thường, chẳng hạn như các tệp không mong muốn trong $APPLPTMP.
• Theo dõi các yêu cầu POST không cần xác thực gửi đến servlet TCF và các truy vấn trinh sát SQL sau đó.
• Xác minh rằng tài khoản oracle không khởi chạy /bin/sh thông qua Concurrent Manager, điều này cho thấy dấu hiệu bị xâm phạm.