Oracle EBS 已修補重大漏洞；Defused 稱誘餌錄得探索性利用嘗試

情報摘要

Defused 於 10 月 27 日表示，其 Oracle E-Business Suite 誘餌錄得針對 CVE-2026-101767 的探索性利用嘗試。Oracle 已在 10 月 20 日 CPU 提供修補；誘餌觀測不等於已確認生產系統遭入侵。

Oracle 矩陣確認此漏洞可經 HTTP 在未認證情況下被遠端利用。Horizon3 說明 TCF servlet 的 SQL 注入可串連至以 EBS 應用帳戶權限執行作業系統命令；潛在權限及資料影響依部署而異。

Defused 原始貼文把觀測時間寫為 10 月 27 日早上，對象是其誘餌；沒有在貼文提供可據以確認實際企業入侵規模的證據。本篇不將其描述升級為大規模或已成功的生產環境攻擊。

這是既有 Oracle 10 月 CPU 集合公告的個別 EBS 漏洞跟進，不是另一批季度修補，也不把其他 EBS 漏洞或過往勒索活動歸入本事件。

受影響產品

Oracle E-Business Suite 12.2.3 至 12.2.15（包括兩端版本）的 Oracle Application Object Library，Core 元件。

適用讀者

Oracle EBS 的 ERP、DBA、系統維運及資安團隊，尤其管理可由不可信網絡連入的 web tier 者

建議行動

按 Oracle October 2026 CPU 及其 EBS Patch Availability Document（My Oracle Support Note KA923）安裝適用修補並確認完成。依 Horizon3 建議，未修補前應限制 web tier 至可信網絡、從 EBS URL 防火牆允許清單移除受影響 TCF servlet，並檢查應用主機及資料庫異常；限制存取不能取代修補。

風險評級依據

Oracle 官方風險矩陣列 CVSS 3.1 基本分數 9.8；Horizon3.ai 標為 Critical。無需認證或使用者互動，但攻擊者須能經網絡接觸受影響功能。

解讀限制

Defused 的誘餌觀測是研究方聲稱，未獲 Oracle 或受害機構在本批原始來源中確認為生產環境成功入侵；早上的精確時區未明。

Oracle CPU 對過往未修補系統遭利用的一般說明，不能視為此 CVE 的個別利用確認。

沒有已核實香港受害個案、暴露實例數或受害總數；公告與修補日期不等於首次攻擊日期。

資料來源

• Defused：Oracle EBS 誘餌錄得探索性利用嘗試的原始貼文 ↗來源刊登：2026-10-27
• Oracle：2026 年 10 月 Critical Patch Update 及 EBS 風險矩陣 ↗來源刊登：2026-10-20
• Horizon3.ai：CVE-2026-101767 Oracle EBS TCF SQL Injection and RCE ↗來源刊登：2026-10-20