Oracle EBS、認証不要のSQLインジェクションを修正―OSコマンド実行にも連鎖
TCFの処理を入口に、データベース操作からアプリケーション実行アカウントの権限へ到達する問題です。
Oracleの修正公表日：2026-10-20 / 公開： / 更新： / 最終確認：
Codingholic 編集部 · 約2分
Oracleは2026年10月20日の定例セキュリティ更新で、E-Business Suite（EBS）の脆弱性CVE-2026-101767を修正しました。Oracle Application Object LibraryのCore部分が対象で、影響するバージョンは12.2.3〜12.2.15、CVSS基本値は9.8です。
発見者のHorizon3.aiによると、問題はTCFというサーバー側処理のSQLインジェクションです。認証していない攻撃者でも対象処理にネットワークから到達できれば、細工した要求によってAPPSというデータベースユーザーの権限でSQLを実行できます。
さらに同社は、データベースの操作からEBSアプリケーションの実行アカウントでOSコマンドを動かす攻撃経路を示しています。到達可能な情報やOS上の操作範囲は、そのアカウントの権限に依存します。これは研究者が示した悪用可能性であり、顧客の情報流出を確認したという発表ではありません。
管理者はOracleの10月更新と自社構成に対応するパッチを確認する必要があります。Horizon3.aiは更新までの暫定策として、TCFの対象処理をURLの許可リストから外すことや、Web層への接続元を制限することを挙げています。内部設置でも、侵害済み端末などから対象処理へ到達できる場合は影響を受けるとしています。
出典と編集について
Oracle／Horizon3.ai：Oracle Critical Patch Update Advisory - October 2026 ↗CVE-2026-101767: Oracle E-Business Suite TCF SQL Injection and Remote Code Execution ↗
本記事は公表資料に基づく速報です。判明した範囲を記載しており、続報で内容が変わる場合があります。