补丁是上周才打的。按理打完就消停了，结果 10 月 27 号一早，做威胁情报的 Defused Cyber 在 X 上贴了条消息：他们布在 Oracle E-Business Suite（EBS）上的蜜罐，记到了一波针对 CVE-2026-101767 的探测性利用。补丁落地没几天，扫描的先到了——这节奏这两年越来越常见。

分数 CVSS 9.8。按 Oracle 的归类，是 Oracle Application Object Library 里的「认证不当」。说人话：不用登录。挖出来并上报的是 Horizon3.ai 的 Brandon Peterson、Jimi Sebree、Noah King，报给 Oracle 的日子是 7 月 24 日，Oracle 在上周那次 Critical Patch Update（CPU）里把它修了。

利用路径 Defused Cyber 说得挺具体：EBS 的 Thin Client Framework servlet 有个未授权的 SQL 注入，能一路链到远程代码执行。Horizon3.ai 自己的公告也是这个口径——未认证 SQL 注入，可链到 RCE。SQL 注入这词听着老，可一旦「未认证 + 直通 RCE」叠一起，性质就变了：凡是把 EBS 登录端点摊在公网上的，等于把门开在路中间。

影响版本：还没应用 Oracle 那次 Critical Patch Update 的 Oracle E-Business Suite（问题出在 Application Object Library）。

修复版本：Oracle 该次 CPU 里针对 CVE-2026-101767 的补丁。

一条自查：先确认这轮 CPU 打没打——EBS 的补丁记录在 adop / OPatch 里翻得到；没打的照着 Oracle 的 CPU 顺序打，别跳着来。一时打不动的，至少把 EBS 的暴露面收一收，别让 Thin Client 这条路继续敞开在公网上。

EBS 这种系统打补丁，从来不是「点一下就好」：要停应用、要过 adop、要跟业务约窗口。所以不少单位明知道有事，也是一拖再拖——攻击者赌的就是这个时间差。这回他们赌对了一半：补丁是出了，装上去的速度没跟上。

顺带说一句，Oracle 这波 CPU 里不止这一个。PeopleSoft 那个被 ShinyHunters 从 5 月就开始用的洞（CVE-2026-35273，也是 9.8），这周被 ZDI 拆开看，发现不是单个漏洞，是三个串起来的：根子是一处 SSRF，因为 PeopleSoft 默认信任自己的 loopback 地址，于是能摸到内部管理接口，再链到免登录 RCE。修是 6 月就修了，可「一个 CVE 其实藏着三个」这事，到现在才说清楚。同一种味道我们之前写过：一个是一个 POST 请求就能拿 shell 的 PHP 引擎洞，一个是先让服务器替你去够内网、再收网的 SSRF。老系统的补丁，最不缺的就是「以为堵了一个、其实还差两个」。

原始来源：The Hacker News《Hackers Target Critical Oracle E-Business Suite RCE Flaw Days After Security Patch》：https://thehackernews.com/2026/10/hackers-target-critical-oracle-e.html