Oracle EBS の認証不要 SQLi から OS コマンド実行（CVE-2026-101767）：AppsTCFServer を許可リストから外す
Oracle E-Business Suite 12.2.3〜12.2.15 の /OA_HTML/AppsTCFServer に、細工した HTTP 要求で APPS ユーザーとして SQL を実行し、アプリ用 OS アカウントでコマンドを実行できる問題がある。標準の URL ファイアウォールで許可された入口なので、初期設定のままでは防げない。カナダのサイバー当局が 10 月 28 日に悪用を注意喚起。
対応
- パッチ: Oracle の 10 月 20 日の Critical Patch Update を適用する。環境ごとのパッチは My Oracle Support の Note KA923 で確認。
- 暫定策: パッチまでの間、URL ファイアウォールの許可リストから
AppsTCFServerサーブレットを外し、信頼できるネットワークからだけ接続できるようにする。 - 内部からの到達も塞ぐ: インターネット公開の Web 層だけでなく、侵害済み端末から届く社内環境も対象。信頼できない全ての経路で制限する。
侵害の調査ポイント
/OA_HTML/AppsTCFServerへの未認証 POST と、その直後の SQL による偵察。$APPLPTMPにある想定外のファイル。- oracle（アプリ用）アカウントからのシェル起動。