Oracle E-Business Suite'teki Kritik Açık Yamalanır Yamalanmaz Saldırganların Radarına Girdi

Tehdit istihbaratı firması Defused Cyber, Oracle E-Business Suite'te (EBS) geçtiğimiz hafta yamalanan kritik bir güvenlik açığının saldırganlar tarafından aktif biçimde araştırılmaya başlandığını açıkladı. CVE-2026-101767 olarak kayıtlara geçen ve CVSS puanı 9.8 olan bu açık, Oracle Application Object Library bileşeninde bulunuyor. Firma, 27 Ekim sabahı kurduğu Oracle EBS tuzak sistemlerinde (decoy) bu açığa yönelik keşif amaçlı saldırı girişimleri kaydedildiğini X platformundaki bir paylaşımıyla duyurdu.

Açık Nasıl Çalışıyor?​

Horizon3.ai bünyesindeki güvenlik araştırmacıları Brandon Peterson, Jimi Sebree ve Noah King, açığı 24 Temmuz 2026'da Oracle'a bildirdi. Oracle, açığı geçen hafta yayımladığı Kritik Yama Güncellemesi (Critical Patch Update) kapsamında kapattı. Ancak yamanın üzerinden yalnızca birkaç gün geçmişken saldırganların harekete geçtiği görüldü.
Horizon3.ai'nin teknik analizine göre açık, EBS'nin Thin Client Framework (TCF) servlet bileşeninde kimlik doğrulaması gerektirmeyen bir SQL enjeksiyon zafiyetinden kaynaklanıyor. Saldırgan, ağ erişimi aracılığıyla /OA_HTML/AppsTCFServer adresindeki savunmasız servlet'e özel hazırlanmış bir istek göndererek SQL komutlarını APPS veritabanı kullanıcısı yetkileriyle çalıştırabiliyor. Süreç buradan EBS uygulama hesabının ayrıcalıklarıyla işletim sistemi komutlarının yürütülmesine kadar uzanıyor.
Başarılı bir saldırı; APPS kullanıcısının erişebildiği uygulama verilerinin okunmasına ya da değiştirilmesine ve uygulama sunucusunda komut çalıştırılmasına olanak tanıyor. Horizon3.ai, etkilenebilecek veriler arasında dağıtım ortamına bağlı olarak finansal kayıtlar, bordro, insan kaynakları ve satın alma kayıtlarının yer alabileceği uyarısını yaptı. İşletim sistemi erişim düzeyi ise ele geçirilen EBS uygulama hesabının izinleriyle doğrudan bağlantılı.

Yalnızca İnternet'e Açık Sistemler Risk Altında Değil​

İnternete doğrudan açık EBS sistemleri en yüksek riski taşısa da Horizon3.ai, iç ağdaki sistemlerin de tehlikeden azade olmadığına dikkat çekti. Bir saldırgan, güvenliği ihlal edilmiş başka bir sistem veya erişilebilir bir ağ segmenti üzerinden savunmasız servlet'e ulaşabiliyorsa iç ağdaki EBS kurulumları da istismar edilebilir durumda.

Defused Cyber'ın Tuzak Sistemlerinden Gelen Bulgular​

Defused Cyber'ın X paylaşımında yer alan ifadeye göre, firma Oracle EBS tuzak sistemlerinde CVE-2026-101767'ye yönelik keşif amaçlı istismar girişimleri kaydetti. Bu girişimler, yamanın yayımlanmasının hemen ardından saldırganların açığı aktif olarak taramaya başladığını ortaya koyuyor.

Uzlaşma Göstergeleri ve Geçici Önlemler​

Horizon3.ai, sistemlerin ele geçirilip geçirilmediğini anlamak için kullanılabilecek uzlaşma göstergelerini de paylaştı. Bu göstergeler şu üç ana başlık altında toplanıyor:

• /OA_HTML/AppsTCFServer adresine gelen ve Gantt veri sunucusu sınıfını (oracle.apps.jtf.gantt.server.GanttDataServer) başlatan kimlik doğrulamasız POST istekleri ile ardından gelen arka uç veritabanı aktivitesi.
• Kimlik doğrulamasız web isteklerinin hemen akabinde gerçekleşen SQL keşif faaliyetleri: veritabanı sürümü, mevcut kullanıcı ve dizin nesnelerine yönelik sorgular.
• $APPLPTMP dizininde beklenmedik dosyaların ortaya çıkması ve Concurrent Manager aracılığıyla oracle hesabının /bin/sh çalıştırarak işletim sistemi komutları vermesi.

\nKullanıcıların en kısa sürede mevcut yamayı uygulaması tavsiye ediliyor. Anlık yama yapılamıyorsa aşağıdaki geçici önlemler alınabilir:

• oracle.apps.fnd.tcf.SocketServer ile ilişkilendirilen /OA_HTML/AppsTCFServer adresini EBS URL güvenlik duvarı izin listesinden kaldırmak.
• EBS web katmanına erişimi yalnızca güvenilir ağlarla kısıtlamak.
• EBS uygulama sunucusunu ve veritabanını ele geçirilme belirtilerine karşı izlemek.

\n

EBS Açıkları Saldırganlar İçin Süregelen Bir Hedef​

Oracle E-Business Suite, son bir yıl içinde birden fazla kritik güvenlik açığının aktif olarak istismar edildiği bir platform hâline geldi. CVSS puanı 9.8 olan CVE-2025-61882 ve CVE-2026-46817 numaralı iki kritik açık daha önce aktif saldırılara konu oldu; bu açıklardan ilki Cl0p fidye yazılımı ve gasp grubu tarafından kullanıldı. CVE-2026-101767'ye yönelik saldırı girişimlerinin yama yayımlanır yayımlanmaz başlaması, kurumların yama süreçlerini hızlandırmasının ne denli kritik olduğunu bir kez daha gözler önüne seriyor.

Sıkça Sorulan Sorular​

CVE-2026-101767 açığı tam olarak ne tür bir güvenlik zafiyetidir?​

CVE-2026-101767, Oracle E-Business Suite'in Thin Client Framework (TCF) servlet bileşeninde bulunan, kimlik doğrulaması gerektirmeyen bir SQL enjeksiyon açığıdır. Bu açık, uzaktan kod çalıştırma zinciriyle birleştirilerek saldırganın sistemi ele geçirmesine olanak tanıyabilir. CVSS puanı 9.8 olarak belirlenmiştir.

Açığı kim keşfetti ve Oracle'a ne zaman bildirdi?​

Açığı Horizon3.ai bünyesindeki güvenlik araştırmacıları Brandon Peterson, Jimi Sebree ve Noah King keşfetti. Oracle'a bildirim tarihi 24 Temmuz 2026 olarak açıklandı.

Saldırganlar bu açıkla hangi verilere erişebilir?​

Horizon3.ai'ye göre başarılı bir saldırı, APPS veritabanı kullanıcısının erişebildiği uygulama verilerinin okunmasına veya değiştirilmesine ve uygulama sunucusunda komut çalıştırılmasına imkân tanıyor. Dağıtım ortamına bağlı olarak finansal kayıtlar, bordro, insan kaynakları ve satın alma kayıtları risk altında olabilir.

Yalnızca internete açık sistemler mi tehdit altında?​

Hayır. İnternete doğrudan açık EBS sistemleri en yüksek riski taşısa da Horizon3.ai, saldırganın güvenliği ihlal edilmiş başka bir sistem veya erişilebilir bir ağ segmenti üzerinden savunmasız servlet'e ulaşabilmesi durumunda iç ağdaki EBS kurulumlarının da istismar edilebildiğini belirtti.

Oracle EBS'de daha önce de bu ölçekte kritik açıklar istismar edildi mi?​

Evet. Son bir yıl içinde CVSS puanı 9.8 olan CVE-2025-61882 ve CVE-2026-46817 numaralı iki kritik açık aktif saldırılara konu oldu. CVE-2025-61882, Cl0p fidye yazılımı ve gasp grubu tarafından kullanıldı.