10 月 20 日的 Oracle CPU 总结里，我把数据库这条 9.8 分放在最前面：EBS 的 CVE-2026-101767。8 天后，情况变了——加拿大网络安全中心 10 月 28 日更新公告 AV26-1071，说开源报告显示这个漏洞已经在野利用。补丁窗口从”这个季度找时间打”变成了”现在就处理”。

漏洞本身

Oracle E-Business Suite 12.2.3 到 12.2.15，Application Object Library Core 组件。Thin Client Framework 的 servlet /OA_HTML/AppsTCFServer 无需登录就能访问，精心构造的请求可以注入 SQL，以 APPS 数据库用户的身份执行。Horizon3 的研究（Brandon Peterson、Jimi Sebree、Noah King，7 月 24 日报告给 Oracle）指出，这条链还能继续走到操作系统命令执行——从 SQL 注入到应用主机的 RCE。CVSS 9.8（AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H）。

为什么 DBA 要格外在意

APPS 不是普通应用账号，它是 EBS 的应用模式拥有者，财务、采购、薪资、供应商数据都在它能触及的范围内。注入成功不是”读到几行数据”，而是拿到整个 EBS 业务数据的钥匙，再往下是 Concurrent Manager 拉起 /bin/sh——检测规则里已经把”应用账号派生 Unix shell”列为利用后指标。

时间线

  • 7 月 24 日：Horizon3 报告给 Oracle
  • 10 月 20 日：10 月 CPU 发布修复（MOS KA923、KA1818）
  • 10 月 26 日：PoC 仓库公开
  • 10 月 27 日：Defused Cyber 的蜜罐记录到针对这个漏洞的试探性利用
  • 10 月 28 日：加拿大网络安全中心更新 AV26-1071，称开源报告显示在野利用；同日 BleepingComputer 报道扫描活动
  • 暴露面：Shadowserver 统计全网 670 多台 EBS 直接暴露在互联网上，Censys 数到 2,246 个运行 EBS 的 Web 资产

口径要说准

加拿大中心说的是”开源报告显示在野利用”，它引用的也是同一批蜜罐报告；截至 10 月 29 日，CISA 还没有把它列入 KEV，Oracle 也没有发布超出 CPU 公告之外的说明，公开渠道也没有确认的生产环境入侵案例。准确的说法是：试探性利用已确认，生产入侵未确认——但这不改变处理优先级，7 天从补丁发布走到蜜罐试探，周度变更窗口已经比攻击者的动作慢了。

同一批 CPU 里还有一个 9.8

Workflow 的 CVE-2026-101809，同样无需登录可远程利用。除两个 9.8 之外，EBS 这次还有 192 个补丁。两个 9.8 先走，Application Object Library 排在 Workflow 前面——它是所有模块共用的底座。

DBA 行动清单

  1. 确认版本：12.2.3–12.2.15 在影响范围，先核对自己的 EBS 版本与 CPU 级别
  2. 打 10 月 CPU（含 CVE-2026-101767 与 CVE-2026-101809 的修复）；打完用 EBS 与 Java CPU 检查器验证
  3. 打不上补丁先上围栏：把 AppsTCFServer 从 URL 防火墙白名单里拿掉，Web 层只放行应该访问的人——这是安全矩阵发布后研究人员给出的临时建议，补丁上了再撤围栏
  4. 查日志：10 月 20 日前后，/OA_HTML/AppsTCFServer 有无异常请求；查 Concurrent Manager 是否派生过 /bin/sh；查 APPS 账号的异常 SQL 与审计记录
  5. 盯下一次发布：11 月 17 日是 Oracle 下一个每月 CSPU

一个真实打补丁的参照

David Norton Consulting 在 11 月 5 日完成了这次 CPU——37 个补丁文件、6.3 GB，adop 周期走完后切到新文件系统，Oracle 自身的补丁表显示 15 个应用补丁全部到位，EBS 与 Java CPU 检查器干净。过程中也踩了坑：AutoConfig 因为在线补丁的种子数据复制问题，看不到 8,743 个 Profile 选项定义，最后是补丁侧的修复。意思是：这轮 CPU 不只是”打个补丁”，adop 全流程要留出验证时间。

10 月 20 日那篇的标题说”数据库先处理这条 9.8”，现在补一句：处理完了要验证，没处理完的，围栏先立起来。

原文作者: liups.com

原文链接: https://liups.com/posts/adf9eb3d/

许可协议: 知识共享署名-非商业性使用 4.0 国际许可协议