สรุปสั้น

Oracle E-Business Suite (EBS) คือ ระบบ ERP ที่องค์กรใหญ่ใช้จัดการการเงิน เงินเดือน HR และการจัดซื้อ และเป็นเป้าโปรดของผู้โจมตีมาตลอดปี บริษัท Oracle แพตช์ช่องโหว่ CVE-2026-101767 คะแนน CVSS 9.8 ใน Oracle Application Object Library ของ EBS ไปใน Critical Patch Update เดือนตุลาคม 2569 (2026/10/216 ) เพียงราวหนึ่งสัปดาห์ต่อมา เมื่อเช้าวันที่ 27 ตุลาคม บริษัท Defused Cyber ผู้ให้บริการข่าวกรองภัยคุกคามรายงานว่า decoy ของ EBS ที่ตนวางไว้บันทึกการยิง exploit แบบสำรวจต่อช่องโหว่นี้ ช่องโหว่เป็น SQL injection ที่ไม่ต้องล็อกอินใน servlet ของ Thin Client Framework (TCF) ผู้โจมตีส่งคำขอที่ประดิษฐ์ขึ้นเพื่อรัน SQL ด้วยสิทธิ์บัญชีฐานข้อมูล APPS แล้วต่อยอดเป็นการรันคำสั่งระบบปฏิบัติการด้วยสิทธิ์บัญชีแอปพลิเคชันของ EBS

ช่องโหว่นี้น่ากังวลเพราะ EBS ถูกโจมตีจริงด้วยช่องโหว่วิกฤตในผลิตภัณฑ์เดียวกันมาแล้ว 2 ตัวในปีที่ผ่านมา และตัวหนึ่งถูกกลุ่มแรนซัมแวร์ Cl0p ใช้ขโมยข้อมูลหลายองค์กร ตอนนี้ยังเป็นเพียงการยิงสำรวจและยังไม่มีรายงานเหยื่อ แต่ผู้ดูแลควรติดตั้งแพตช์ทันที ถ้ายังทำไม่ได้ให้ถอด /OA_HTML/AppsTCFServer ออกจาก allowlist และจำกัดการเข้าถึง web tier ของ EBS

รายละเอียดข่าว

เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 28 ตุลาคม 2569 ว่าผู้โจมตีเริ่มสำรวจหาเป้าหมายของช่องโหว่วิกฤตใน Oracle E-Business Suite ที่เพิ่งได้รับแพตช์ ตามข้อมูลจาก Defused Cyber

ไทม์ไลน์ของช่องโหว่ เริ่มจากนักวิจัย 3 คนของบริษัท Horizon3.ai ได้แก่ นาย Brandon Peterson นาย Jimi Sebree และนาย Noah King ค้นพบและรายงานต่อ Oracle เมื่อวันที่ 24 กรกฎาคม 2569 จากนั้น Oracle แพตช์ใน Critical Patch Update เดือนตุลาคม ซึ่งออกเมื่อวันที่ 20 ตุลาคม และเมื่อเช้าวันที่ 27 ตุลาคม Defused Cyber โพสต์บน X ว่า decoy ของตนบันทึก exploit แบบสำรวจได้แล้ว

ด้าน Horizon3.ai ออกประกาศอธิบายว่าช่องโหว่เปิดให้ผู้โจมตีที่เข้าถึง servlet TCF ทางเครือข่ายได้รัน SQL ในฐานะผู้ใช้ฐานข้อมูล APPS แล้วรันคำสั่งระบบปฏิบัติการในฐานะบัญชีแอปพลิเคชันของ EBS พร้อมเผยแพร่วิธีแก้ชั่วคราวและร่องรอยการถูกเจาะ

ข้อจำกัดของข้อมูล คือ สิ่งที่ Defused Cyber เห็น คือ การยิงแบบสำรวจต่อ decoy ไม่ใช่การเจาะสำเร็จในระบบจริง ยังไม่มีรายงานว่าองค์กรใดถูกเจาะ ไม่มีการระบุกลุ่มผู้โจมตี และในรายงานยังไม่มีข้อมูลว่า CISA เพิ่มช่องโหว่นี้เข้าบัญชี KEV แล้วหรือไม่

รายละเอียดช่องโหว่

สาเหตุและเงื่อนไข — CVE-2026-101767 เป็น SQL injection ที่ไม่ต้องยืนยันตัวตนใน servlet ของ Thin Client Framework ที่ path /OA_HTML/AppsTCFServer (คลาส oracle.apps.fnd.tcf.SocketServer) ผู้โจมตีแค่ต้องส่งคำขอถึง servlet นี้ทางเครือข่ายได้ ไม่ต้องมีบัญชีใด ๆ

ขั้นแรก: รัน SQL — คำขอที่ประดิษฐ์ขึ้นทำให้ผู้โจมตีรัน SQL ด้วยสิทธิ์ของผู้ใช้ฐานข้อมูล APPS ซึ่งเป็นบัญชีหลักที่ EBS ใช้เข้าถึงข้อมูลแอปพลิเคชันทั้งหมด จึงอ่านหรือแก้ข้อมูลที่ APPS เข้าถึงได้

ขั้นที่สอง: รันคำสั่งบนเซิร์ฟเวอร์ — จากสิทธิ์ฐานข้อมูล ผู้โจมตีต่อยอดเป็นการรันคำสั่งระบบปฏิบัติการด้วยสิทธิ์บัญชีแอปพลิเคชันของ EBS บนเครื่องแอปพลิเคชัน ขอบเขตการเข้าถึงระบบปฏิบัติการขึ้นกับสิทธิ์ของบัญชีนั้นในแต่ละการติดตั้ง

ร่องรอยที่ใช้ตรวจจับ — Horizon3.ai ระบุสัญญาณดังนี้

  • คำขอ POST ที่ไม่ได้ยืนยันตัวตนไปยัง /OA_HTML/AppsTCFServer ที่สร้างอินสแตนซ์คลาส Gantt data-server (oracle.apps.jtf.gantt.server.GanttDataServer) แล้วตามด้วยกิจกรรมในฐานข้อมูล
  • การสำรวจด้วย SQL ไม่นานหลังคำขอเว็บที่ไม่ได้ยืนยันตัวตน เช่น ถามเวอร์ชันฐานข้อมูล ผู้ใช้ปัจจุบัน และ directory object
  • ไฟล์แปลกปลอมใน $APPLPTMP และบัญชี oracle เรียก /bin/sh ผ่าน Concurrent Manager เพื่อรันคำสั่ง

ประวัติช่องโหว่ EBS — ในปีที่ผ่านมา EBS มีช่องโหว่วิกฤตคะแนน 9.8 อีก 2 ตัวที่ถูกโจมตีจริง คือ CVE-2025-61882 ที่กลุ่ม Cl0p ใช้ และ CVE-2026-46817 (2026/06/198 )

ผลกระทบ

กลุ่มที่เสี่ยงที่สุด คือ องค์กรที่เปิด EBS ออกอินเทอร์เน็ต เช่น พอร์ทัลผู้ขายหรือพอร์ทัลพนักงาน แต่ EBS ภายในก็ถูกโจมตีได้ถ้าผู้โจมตีเข้าถึง servlet จากเครื่องที่ถูกเจาะหรือเซกเมนต์เครือข่ายอื่น Horizon3.ai ระบุว่าข้อมูลที่อาจถูกเข้าถึงมีทั้งบันทึกการเงิน เงินเดือน HR และการจัดซื้อ ซึ่งเป็นข้อมูลที่กลุ่มขู่กรรโชกต้องการ

ประวัติของ Cl0p ที่ขโมยข้อมูลจาก EBS หลายองค์กรด้วยช่องโหว่ก่อนหน้า (เช่น กรณี 2026/09/046 ) แสดงว่าช่วงหลังแพตช์ออกและเริ่มมีการยิงสำรวจ คือ ช่วงที่องค์กรซึ่งยังไม่อัปเดตเสี่ยงที่สุด เพราะผู้โจมตีกำลังหาเป้าหมายจำนวนมากพร้อมกัน

คำแนะนำ

  • ติดตั้ง Critical Patch Update เดือนตุลาคม 2569 ของ EBS ทันที โดยเฉพาะเครื่องที่เปิดออกอินเทอร์เน็ต
  • ถ้ายังแพตช์ไม่ได้ ให้ถอด /OA_HTML/AppsTCFServer ซึ่งผูกกับ oracle.apps.fnd.tcf.SocketServer ออกจาก URL firewall allowlist ของ EBS และจำกัดการเข้าถึง web tier ให้เฉพาะเครือข่ายที่เชื่อถือได้
  • ไล่ล็อกเว็บย้อนหลัง หาคำขอ POST ที่ไม่ได้ยืนยันตัวตนไปยัง /OA_HTML/AppsTCFServer ตั้งแต่วันที่ 20 ตุลาคม โดยเฉพาะคำขอที่อ้างคลาส GanttDataServer
  • ตรวจฐานข้อมูลและเครื่องแอปพลิเคชัน หา SQL ที่ถามเวอร์ชัน ผู้ใช้ปัจจุบัน หรือ directory object หลังคำขอเว็บที่ไม่ได้ยืนยันตัวตน ไฟล์แปลกใน $APPLPTMP และ process /bin/sh ที่บัญชี oracle เรียกผ่าน Concurrent Manager
  • ถ้าพบร่องรอย ให้แยกเครื่อง เปลี่ยนรหัสผ่านบัญชี APPS และบัญชีฐานข้อมูลที่เกี่ยวข้อง แล้วตรวจว่ามีการดึงข้อมูลการเงินหรือ HR ออกไปหรือไม่
  • ระยะยาว ไม่เปิด EBS ออกอินเทอร์เน็ตโดยตรง ให้ผ่าน VPN หรือ reverse proxy ที่ยืนยันตัวตนก่อน

แหล่งอ้างอิง