Oracle, Ekim Kritik Yama Güncellemesi'nde 1.200'den fazla açığı kapattı. Bunlardan biri E-Business Suite'te CVSS 9.8'lik bir açık ve honeypot'lar şimdiden ona yönelen trafiği gösteriyor.
Söz konusu açık, Oracle Application Object Library'deki CVE-2026-101767. Oracle'ın kendi danışma metni riski açıkça söylüyor: savunmasız bir kuruluma HTTP üzerinden erişebilen bir saldırganın onu tamamen ele geçirmek için kimlik bilgisine ihtiyacı yok. Etkilenen sürümler 12.2.3 ile 12.2.15 arası.
Horizon3.ai'nin analizi mekanizmayı Thin Client Framework servlet'indeki bir SQL enjeksiyonuna, oradan da kod enjeksiyonu ve çalıştırmaya kadar izliyor. Önemli olan bu ilerleme: bir ERP arka ucundaki SQL enjeksiyonu yalnızca veri sızıntısı hatası değil. Defterin tutulduğu sistemde ayak basacak bir yer demek.
DefusedCyber, X üzerinden E-Business Suite honeypot'larında bu hafta salı gününden beri bu CVE'ye yönelik keşif amaçlı exploit'ler gördüğünü bildirdi. Belirleyici kelime "keşif": bunlar kitlesel bir kampanyadan çok yetenek testi ve gözlem gibi görünüyor. Şu ana kadar, E-Business Suite'in daha önce çektiği türden koordineli bir veri hırsızlığı operasyonuna dair kamuya açık bir kanıt yok.
Takvimi rahatsız edici kılan tam da bu geçmiş. 2025 sonbaharında Cl0p fidye yazılımı grubu bir EBS açığına karşı kitlesel sömürü yürüttü, büyük ölçekte veri sızdırdı ve ardından yüzlerce, muhtemelen binlerce ele geçirilmiş e-posta hesabı üzerinden kurbanları sıkıştırdı. 2026 Haziran sonunda suçlular EBS Payments'taki başka bir kritik açığı sömürdü ve yine savunmasız kurulumlarda tam ele geçirme sağladı. EBS, saldırganların istemeyi öğrenmesi gereken bir hedef değil; provası yapılmış bir hedef.
Yapısal sorun, E-Business Suite'in hem iş açısından kritik hem de yamalanması zor olması. Finans, İK, satın alma ve tedarik zincirinin altında duruyor. Tedarikçi portalleri ve self-servis modülleri üzerinden sıklıkla internete açık. Ve büyük ERP yükseltmeleri yıllık, kimi zaman çok yıllık bir tempoda ilerlediği için güvenlik güncellemeleri değişiklik kontrol kurullarının arkasında sıraya giriyor. Binin çok üzerinde düzeltme içeren bir yama günü, herhangi birinin gözden kaçmasını kolaylaştırıyor.
Pratik tavsiye her zamanki tavsiye ve aynı zamanda doğru olan: internete açık her EBS kurulumuna Ekim CPU'sunu şimdi uygulayın. Bu hafta mümkün değilse, o kurulumları kamusal internetten çıkarıp VPN veya uygulama katmanı geçidine alın — açık ağ erişimi gerektiriyor, erişimi kesmek zaman kazandırır. Ardından avlanın: Thin Client Framework uç noktalarına yönelik SQL enjeksiyon denemeleri, olağandışı dışa giden bağlantılar ve olmaması gereken veritabanı kurulumlarındaki yeni hesaplar ya da zamanlanmış işler.
Rahatsız edici kısım, honeypot'lardaki bir haftalık sessiz yoklamanın ima ettiği şey. Bir ERP sistemindeki kimlik doğrulaması gerektirmeyen 9.8'lik bir açığın silahlandırılması bir "acaba" değil. Savunmacıların avantajlı olduğu pencere günlerle ölçülüyor ve bu pencere yama yayımlandığında açıldı; ilk kurban telefon ettiğinde değil.
