湖邊幾棟藍色玻璃圓柱形大樓，其中一棟頂端寫著 ORACLE — Oracle 位於美國加州紅木海岸（Redwood Shores）的園區。Håkan Dahlström 攝，CC BY 2.0，Wikimedia Commons（本站裁成 16:9）。

資安Oracle EBSERP

Oracle EBS 免登入漏洞 CVE-2026-101767 修補一週就有人試打：12.2.3 到 12.2.15 版都在範圍內，CVSS 9.8，用 EBS 管財務人事的企業請確認 10 月修補已裝

趨勢新聞2026 年 10 月 29 日

Oracle E-Business Suite（簡稱 EBS）是 Oracle 賣給大型企業的 ERP，也就是公司記帳、採購、發薪水的後台系統。Oracle 10 月 20 日（美國時間）在每季的重大修補更新裡，修了 EBS 漏洞 CVE-2026-101767：攻擊者不必帳號密碼，只要連得到 EBS 網站上一個特定入口，就可能對資料庫下指令，再串成在主機上執行他要的程式。修補發布一週後，資安公司 Defused 10 月 27 日說，它架來引誘駭客的假 EBS 主機記錄到有人試打。本站引用的資料裡只有試探，沒有確認的企業受害案例。本站的讀法：要處理的是用 EBS 的企業；漏洞若被成功利用，依各家設定，可能波及公司的財務、採購與員工薪資人事資料。

我會不會受影響？

公司用 EBS 12.2.3 到 12.2.15，還沒裝 2026 年 10 月的修補：在範圍內。Horizon3 寫，對外開放的 EBS 曝險最直接；只開在內網的，攻擊者若先拿下一台連得到該入口的內網電腦，仍可能利用。
還在用 12.1 或更舊的 EBS：受不受這個漏洞影響，官方資料沒有寫。Oracle 的通則是不測試支援期外的版本，「受影響版本的更早版本也可能受影響」（本站譯），建議升級。
一般上班族、消費者：不用自己做什麼，要處理的是用 EBS 的公司資訊部門（本站的讀法）。

名詞先講清楚

SQL 注入是在請求裡夾帶資料庫指令，讓系統照著執行。CVSS 是 0 到 10 的嚴重度分數，這個漏洞 9.8 分，屬最高的「重大」級。重大修補更新（Critical Patch Update，CPU）是 Oracle 每季一次的大批修補，這一批 EBS 有 194 個安全修補，其中 31 個漏洞可能不必登入就能從遠端利用。

漏洞出在哪

發現漏洞的是美國資安公司 Horizon3.ai。它寫，問題在 EBS 的 Thin Client Framework（TCF）元件，入口是 /OA_HTML/AppsTCFServer，EBS 預設的網址防火牆（只放行特定網址的清單）會讓它通過。攻擊者送出特製請求，就能用資料庫帳號 APPS 的權限執行 SQL，再串成以 EBS 應用程式帳號在主機上執行指令，能讀改 APPS 碰得到的資料，可能包括財務、薪資、人事與採購紀錄。Horizon3 7 月 24 日通報 Oracle，10 月 20 日修補當天公開說明。

已知的、還不知道的

已知：Defused 10 月 27 日在 X 上寫，它的 EBS 誘餌「今天早上（10 月 27 日）記錄到針對 CVE-2026-101767 的試探性攻擊」（本站節譯，取得的摘錄未載時區）。據 SecurityWeek 10 月 28 日報導，當時沒有其他遭利用的報告；美國資安主管機關 CISA 的「已遭利用漏洞目錄」（KEV）10 月 27 日版也沒有列入。

還不知道：本站取得的 Defused 貼文摘錄沒有交代試打的是誰、有沒有得手、有沒有真實企業受害，本站不把它讀成已有企業被入侵。但 EBS 有被大規模利用的前例：據 SecurityWeek 報導，Cl0p 勒索集團 2025 年利用 Oracle 的零時差漏洞（廠商還沒修補就被利用的漏洞）存取企業儲存的資料，可能波及逾 100 個組織；另一個 EBS 漏洞 CVE-2026-46817，CISA 7 月 15 日已列入 KEV。

怎麼修，來不及修怎麼辦

根本解法是依 My Oracle Support 的 EBS 修補文件（編號 KA923），裝好適用的 10 月修補；Oracle 也建議 EBS 底下的資料庫和中介軟體（Fusion Middleware）一併裝 10 月修補。Horizon3 建議裝完再測一次，確認這個漏洞已無法利用。

修補裝好之前，Horizon3 建議把 /OA_HTML/AppsTCFServer 從網址防火牆的放行清單拿掉；EBS 網站只開給信任的網路，所有不受信任、連得到這個入口的路徑都要限制；並監看入侵跡象，例如未登入請求打到這個入口後資料庫緊接著查詢版本與帳號、暫存目錄 $APPLPTMP 出現不明檔案，或 oracle 帳號經排程程式（Concurrent Manager）開啟 /bin/sh 執行指令。它說這些做法「能降低曝險，但不能取代修補」（本站譯）。封鎖連線可能讓功能出問題，Oracle 建議先在測試環境試。

台灣這邊的制度：上市公司依證交所重大訊息處理程序，資安事件造成公司重大損害或影響時要發布重大訊息，上櫃公司有櫃買中心的對應規定；個資遭竊取、洩漏、竄改或其他侵害時，依個人資料保護法第 12 條要查明後以適當方式通知當事人。

原文 Oracle〈Critical Patch Update Advisory - October 2026〉，受影響版本、CVSS、EBS 修補數量、致謝名單、舊版的說明、KA923 文件編號取自此頁； Horizon3.ai〈CVE-2026-101767〉（2026-10-20），漏洞位置、APPS 權限、可能波及的資料、通報日期、緩解措施與入侵跡象取自此頁； Defused 在 X 的貼文（2026-10-27），誘餌主機記錄到試探性攻擊取自此處； SecurityWeek〈Hackers Start Probing Fresh Oracle EBS Vulnerability〉（2026-10-28），「沒有其他在野外遭利用的報告」與 Cl0p 2025 年事件的轉述取自此篇； CVE-2026-101767 紀錄與 NVD 頁面，發布時間與 CVSS 向量取自此處； CISA 的 KEV JSON 資料檔（2026-10-27 版），是否列入與 CVE-2026-46817 的列入日期取自此處；台灣法規：證交所〈對有價證券上市公司重大訊息之查證暨公開處理程序〉第 4 條第 1 項第 26 款、櫃買中心 2021 年增訂資通安全事件重大訊息的公告、個人資料保護法第 12 條（修正條文施行前適用版本）。

本站的讀法：公司用 Oracle EBS 的，請資訊部門或維護廠商回答兩件事：適用的 10 月修補（含資料庫與中介軟體）裝了沒有、裝完有沒有驗證；裝好之前，/OA_HTML/AppsTCFServer 有沒有從放行清單拿掉、其他不受信任的連線路徑有沒有擋住。本站引用的資料只看到試探，未確認企業遭成功入侵。