企業の会計や購買、人事などを一括管理する基幹システム「Oracle E-Business Suite（EBS）」で見つかった深刻なセキュリティホールについて、修正パッチが出てから数日のうちに、攻撃者が悪用できないか探りを入れ始めていると、脅威インテリジェンス企業のDefused Cyberが伝えています。
問題の欠陥は「CVE-2026-101767」で、深刻度を示す共通指標CVSSは10点満点中9.8と、最高クラスです。原因は「不適切な認証」、つまり本来はログインが必要な機能に対して、正しい本人確認が行われないまま操作できてしまう種類の欠陥とされています。この種の欠陥は、外部から直接狙われやすいのが特徴です。
現時点で報じられているのは、攻撃が成功した事例ではなく、あくまで「探りを入れる動き（プロービング）」の段階です。ただ、パッチの公開後は、修正内容を解析して未適用のサーバーを狙う攻撃が急増しやすく、対応が遅れた組織ほどリスクが高まります。
Oracle EBSを利用している組織は、Oracleが公開した最新のパッチが適用済みかをすぐに確認してください。すぐに適用できない場合は、EBSをインターネットから直接アクセスできる状態に置いていないか見直し、アクセス元の制限などで露出を減らすことが重要です。自社で使っているかわからない場合は、情報システム部門や運用ベンダーに確認するとよいでしょう。
出典: The Hacker News「Hackers Target Critical Oracle E-Business Suite RCE Flaw Days After Security Patch」