Oracle EBS Güvenlik Açığına Yönelik İlk Saldırı Girişimleri Tespit Edildi

Oracle EBS Güvenlik Açığına Yönelik İlk Saldırı Girişimleri Tespit Edildi

Oracle E-Business Suite (EBS) ürünündeki kritik bir SQL enjeksiyon güvenlik açığı olan CVE-2026-101767’ye yönelik ilk saldırı girişimleri gözlemlendi. Bu zafiyet, Oracle’ın Ekim ayı kritik yama güncellemesi (CPU) ile giderilmiş olup, CVSS puanı 9.8 gibi oldukça yüksek bir seviyededir.

Söz konusu güvenlik açığı, EBS’nin Uygulama Nesne Kütüphanesi (Application Object Library) ürünündeki bir SQL enjeksiyon sorunundan kaynaklanmaktadır. Uzaktan ve kimlik doğrulaması yapılmamış saldırganlar, HTTP üzerinden bu zafiyeti kullanarak sisteme sızabilirler. Başarılı bir istismar durumunda, saldırganlar uzaktan kod yürütme (RCE) yeteneği kazanarak Uygulama Nesne Kütüphanesi üzerinde tam kontrol sağlayabilirler.

Saldırı Girişimlerinin Başlangıcı ve Keşfi

Defused güvenlik şirketinin bildirdiğine göre, CVE-2026-101767’yi hedef alan ilk keşif amaçlı saldırılar 27 Ekim tarihinde tespit edildi. Şirket, X (eski adıyla Twitter) üzerinden yaptığı açıklamada, Oracle E-Business Suite tuzak sistemlerinin bu tarihte saldırı girişimlerini kaydettiğini belirtti. Bu güvenlik kusuru, Horizon3.ai tarafından keşfedilip rapor edildi ve şu ana kadar gerçek dünya ortamında başka bir istismar raporu bulunmamaktadır.

Oracle EBS Zafiyetlerine Yönelik Geçmiş Saldırılar

Oracle EBS zafiyetleri, siber tehdit aktörleri tarafından sıkça hedeflenen bir alan olmuştur. Geçtiğimiz Haziran ayında Defused, E-Business Suite’in Ödemeler (Payments) ürünündeki Dosya Aktarımları (File Transmissions) bileşeninde yer alan kritik bir sorun olan CVE-2026-46817’yi istismar eden saldırılar konusunda uyarıda bulunmuştu. Geçen yıl ise Cl0p fidye yazılımı ve gasp grubu, Oracle’ın kurumsal yönetim yazılımındaki sıfır gün açıklarını kullanarak depolanan verilere erişim sağlamıştı. Bu büyük ölçekli EBS saldırı kampanyası, tüketim malları, enerji, mühendislik, eğlence, finans, ağır sanayi, üretim, medya, yazılım, teknoloji, telekomünikasyon ve diğer sektörlerde 100’den fazla kuruluşu etkileme potansiyeli taşımaktaydı.

Kaynak: Orijinal haber