Misbruik van kritiek SQL Injection-lek in Oracle E-Business Suite gemeld

In dit artikel:

Aanvallers maken actief misbruik van een kritiek SQL-injectielek in Oracle E-Business Suite (EBS), meldt cybersecuritybedrijf Defused. Oracle bracht op 20 oktober beveiligingsupdates uit voor de kwetsbaarheid, die als CVE-2026-101767 is geregistreerd. Een ongeauthenticeerde aanvaller kan via het lek systeemcommando’s uitvoeren en mogelijk volledige remote code execution verkrijgen. Volgens de CVE-beschrijving is misbruik relatief eenvoudig, maar Defused heeft geen details bekendgemaakt over de huidige aanvallen. Het lek werd ontdekt door Horizon3.ai, dat op de publicatiedag van de updates ook technische informatie deelde. EBS wordt gebruikt voor ERP en kan gevoelige organisatie- en klantgegevens bevatten. Eerdere EBS-lekken zijn eveneens bij afpersingsaanvallen ingezet.