Cảnh báo khai thác lỗ hổng RCE nghiêm trọng trên Oracle E-Business Suite

• Mối đe dọa: Lỗ hổng RCE nghiêm trọng trong Oracle E-Business Suite (EBS) đang bị tin tặc thăm dò tích cực.
• Mã định danh: CVE-2026-101767 với điểm CVSS 9.8 (Critical).
• Cơ chế: SQL Injection trong Thin Client Framework dẫn đến thực thi mã từ xa (RCE) mà không cần xác thực.
• Khuyến nghị: Cập nhật bản vá tháng 10 của Oracle và cấu hình lại URL firewall ngay lập tức.

Các nhà nghiên cứu an ninh mạng vừa phát đi cảnh báo về việc tin tặc đang tích cực thăm dò và thử nghiệm khai thác một lỗ hổng bảo mật nghiêm trọng trên Oracle E-Business Suite (EBS). Hoạt động này được ghi nhận lần đầu vào ngày 27 tháng 10 năm 2026, nhắm vào các hệ thống bẫy (decoy) của công ty tình báo mối đe dọa Defused. Mặc dù chưa có báo cáo xác nhận về các cuộc tấn công thành công trên hệ thống khách hàng, nhưng đây là dấu hiệu cho thấy các tác nhân đe dọa đang nhanh chóng tận dụng lỗ hổng này.

Phân tích kỹ thuật lỗ hổng CVE-2026-101767

Lỗ hổng được định danh là CVE-2026-101767, sở hữu điểm số CVSS 9.8 (mức độ nghiêm trọng cao nhất). Vấn đề này được phát hiện bởi Horizon3.ai và đã được báo cáo cho Oracle vào ngày 24 tháng 7. Oracle đã phát hành bản vá trong đợt cập nhật Critical Patch Update tháng 10 năm 2026. Lỗ hổng ảnh hưởng đến thành phần Core của Oracle Application Object Library trong các phiên bản EBS từ 12.2.3 đến 12.2.15.

Cơ chế khai thác và tác động

Lỗ hổng nằm trong Thin Client Framework servlet, có thể truy cập thông qua đường dẫn /OA_HTML/AppsTCFServer. Kẻ tấn công có thể gửi các yêu cầu HTTP/HTTPS được chế tạo đặc biệt để thực hiện tấn công SQL Injection. Thông qua đó, tin tặc có thể gửi các lệnh cơ sở dữ liệu với quyền của người dùng APPS, sau đó leo thang để thực thi lệnh hệ điều hành (OS Command Execution) dưới tài khoản ứng dụng EBS.

Tác động của lỗ hổng này là rất lớn, cho phép kẻ tấn công truy cập, thay đổi hoặc đánh cắp các dữ liệu nhạy cảm về tài chính, nhân sự và bảng lương. Mặc dù không trực tiếp cấp quyền quản trị hệ điều hành (root/administrator), nhưng việc chiếm quyền tài khoản ứng dụng EBS là đủ để gây ra những thiệt hại nghiêm trọng cho doanh nghiệp.

Hướng dẫn phòng thủ và săn tìm mối đe dọa

Để bảo vệ hệ thống trước các nỗ lực khai thác, các quản trị viên cần thực hiện ngay các biện pháp hardening và cập nhật bản vá. Việc chỉ dựa vào tường lửa là không đủ, nhưng đây là giải pháp giảm thiểu tạm thời quan trọng.

⚠️ Cảnh báo quan trọng: Việc trì hoãn cập nhật bản vá tháng 10 của Oracle sẽ khiến hệ thống của bạn đối mặt với rủi ro bị chiếm quyền điều khiển từ xa. Hãy ưu tiên kiểm tra và áp dụng bản vá ngay lập tức.

Các bước giảm thiểu rủi ro

• Cập nhật bản vá: Áp dụng ngay bản cập nhật Critical Patch Update tháng 10 từ Oracle.
• Cấu hình URL Firewall: Loại bỏ servlet /OA_HTML/AppsTCFServer khỏi danh sách cho phép (allowlist) của tường lửa ứng dụng web (WAF).
• Hạn chế truy cập: Chỉ cho phép truy cập vào các endpoint quản trị từ các mạng nội bộ tin cậy.

Dấu hiệu nhận biết (IOCs)

Các đội ngũ SOC cần giám sát chặt chẽ các hành vi bất thường sau đây trên hệ thống:

• Giám sát HTTP: Kiểm tra các yêu cầu POST không xác thực gọi đến GanttDataServer, đặc biệt khi đi kèm với các truy vấn SQL.
• Kiểm tra File hệ thống: Tìm kiếm các tệp tin lạ hoặc bất thường trong thư mục $APPLPTMP.
• Giám sát tiến trình: Theo dõi tài khoản oracle nếu có hành vi khởi chạy /bin/sh thông qua Concurrent Manager.

Để biết thêm chi tiết về các lỗ hổng bảo mật, bạn có thể tham khảo tài liệu từ National Vulnerability Database (NVD) hoặc các thông báo bảo mật chính thức từ Oracle. Việc duy trì cảnh giác và thực hiện quy trình vá lỗi định kỳ là chìa khóa để ngăn chặn các cuộc tấn công tương tự như chiến dịch khai thác CVE-2025-61882 đã từng xảy ra trước đây.