Oracle 于 10 月 20 日发布十月关键补丁更新，其中修复了 E-Business Suite 应用对象库的一个未认证 SQL 注入漏洞，编号 CVE-2026-101767，CVSS 3.1 评分 9.8。补丁发布一周后，威胁情报公司 Defused 在 10 月 27 日上午记录到针对其 EBS 诱饵系统的探索性利用尝试。从补丁可用到有人在找没打补丁的机器，只隔了七天。
漏洞位置与攻击链
CVE-2026-101767 位于 EBS 应用对象库的 Core 组件，具体入口是 Thin Client Framework 的 servlet，路径 /OA_HTML/AppsTCFServer。问题由两部分叠加而成：一个关键功能上缺少认证校验，加上对输入的处理不当，两者合起来构成以高权限 APPS 数据库用户身份执行的 SQL 注入。
攻击者向该 servlet 发送构造好的 POST 请求，请求里实例化 oracle.apps.jtf.gantt.server.GanttDataServer 类。按 Horizon3.ai 公布的技术细节，注入成功后可以执行任意 SQL，再从 APPS 数据库身份链到以 EBS 应用账号执行操作系统命令。从一条 HTTP 请求到拿下整个实例，路径并不长。
受影响版本是 EBS 12.2.3 到 12.2.15。Oracle 同时说明更早的、已停止支持的版本很可能同样受影响。一个容易被忽略的细节：这个 servlet 能穿过 EBS 默认的 URL 防火墙配置，也就是说默认配置下任何互联网暴露的实例都在射程内。
发现与披露时间线
这个漏洞由 Horizon3.ai 的研究人员发现，2026 年 7 月 24 日报告给 Oracle。Oracle 在十月关键补丁更新中完成修复，并在补丁里致谢报告方。从报告到修复约三个月，从修复到首次被探测约七天。
受害面不只是数据库。EBS 通常承载财务、薪酬、人力资源、采购这些系统，APPS 账号能读到的东西，就是攻击者能读到的东西。Horizon3.ai 给出的检测线索很具体：EBS 临时目录下出现异常写入的文件，以及通过 Concurrent Manager 拉起 shell 进程。Concurrent Manager 是 EBS 跑批处理作业的组件，正常业务里它天天在拉起进程，异常 shell 混在里面并不显眼。
影响评估
CVSS 9.8 的构成是未认证、网络可达、无需用户交互。Defused 在诱饵系统上看到的只是探索性尝试，不是确认入侵。目前没有任何受害方、确认的泄露或组织归因公开，也没有证据把这个活动和 Cl0p 联系起来。截至发稿，CVE-2026-101767 尚未进入 CISA 的已知被利用漏洞目录。
但历史值得参考。去年 Cl0p 利用 Oracle 零日打过一轮大规模 EBS 行动，影响超过一百家组织；今年 6 月 Defused 也曾就另一个 EBS 漏洞 CVE-2026-46817 发出警告。ERP 类系统里堆着财务、供应商与人事记录，专门做数据窃取勒索的团伙对这类目标一直有兴趣。
同一个十月更新里还有一个更扎眼的条目：Oracle Workflow 的 CVE-2026-101809，CVSS 10.0。它与 101767 是两个独立漏洞，别只看一个。
这里有个容易被误读的点：EBS 不是普通业务系统，它往往是财务结账、发薪、供应商付款的唯一通道。一旦实例被完全接管，攻击者能做的不是偷一份数据表，而是改数、压单、伪造付款指令，而且这些动作在系统里看起来像正常业务操作。对账发现异常时，损失可能已经发生好几天。
修复与缓解建议
- 立刻应用十月关键补丁更新，细节见 My Oracle Support 说明 KA923。生产、容灾，以及任何网络可达的测试与克隆环境都要打。克隆库最常被忘掉。
- EBS 数据库与 Fusion Middleware 是单独的补丁条目，需要一并修复，只打 EBS 一层不算完。
- 补丁落地前的临时缓解：从 EBS URL 防火墙白名单里移除 /OA_HTML/AppsTCFServer，并把 EBS Web 层访问限制在可信网段或 VPN 内。
- 要清楚这只是止血。移除白名单条目不等于修复，攻击者只要能到达该 servlet 就仍然可以打。
- 日志告警重点盯 AppsTCFServer 的异常 POST，以及其后紧跟的数据库活动与操作系统命令执行。