Oracle E-Business Suite近期曝出未經身分驗證即可觸發的SQL注入漏洞CVE-2026-101767，可串接成遠端程式碼執行。漏洞存在於Thin Client Framework servlet，攻擊者送出特定請求後，可取得APPS資料庫帳戶權限執行SQL，並進一步以EBS應用程式帳戶權限執行作業系統指令。
此漏洞由Horizon3研究人員發現並通報Oracle，Oracle已於10月資安更新中修補；Defused Cyber則於10月27日觀察到針對其EBS誘餌環境的探索性利用。受影響資料可能涵蓋財務、薪資、人力資源與採購紀錄，顯示風險不只限於核心技術架構，而是直接觸及企業營運與機密資料。
另一條攻擊線則指向PeopleSoft。TrendAI旗下Zero Day Initiative指出，Oracle以單一CVE-2026-35273修補的PeopleSoft弱點，實際涵蓋三項不同漏洞，正與Oracle協調分配獨立編號。ShinyHunters自5月起利用相關零日漏洞，已宣稱攻破超過100家組織；Google旗下Mandiant則確認資料竊取與勒索活動，並發現攻擊範圍已由教育業擴散至醫療、農業、運輸、科技及政府部門。
這起事件的核心並非單純的「有沒有修補」，而是企業軟體安全治理與複雜產品架構之間存在難以同步的落差。傳統漏洞管理以CVE編號、資安更新與重新啟動服務為核心，但這次PeopleSoft事件顯示，同一批被歸納在同一編號下的三項漏洞，具有前後相依的攻擊鏈：先利用PeopleSoft Integration Gateway的伺服器端請求偽造（SSRF）繞過存取限制，再透過Environment Management Hub的外部路徑控制寫入web shell，最後以反序列化缺陷觸發惡意XML。
Oracle於6月加入的validateClient方法，原本目的正是限制敏感功能存取，卻因預設允許localhost，加上任何受信任主機仍可觸及PSEMHUB，形成修補機制本身留下可被利用的信任邊界。這說明企業資安問題已從「是否安裝最新套件」轉向「控制措施能否抵禦多步驟、跨元件攻擊」。
從攻防利益結構來看，勒索集團在漏洞修補前已累積大量未偵測的入侵案例，修補並不會自動移除既存web shell。對受侵入組織而言，最大受損方並非Oracle，而是必須承擔資料外洩、停機重建與法遵責任的企業本身；駭客則利用漏洞編號、部署複雜度與修補窗口的落差，創造低成本、大規模擴張的破口。
供應鏈層面的結構性風險更為突出。PeopleSoft與EBS廣泛嵌入人力、財務、採購與校園行政流程，一旦遭控制，攻擊者可獲得高價值的身分關聯資料及供應商連線資訊。這類系統的風險已不只是技術債，而是企業營運韌性與第三人生態系的系統性曝險。資安產業因而成為直接受益者：滲透測試、事件鑑識、弱點管理與雲端隔離服務需求將同步上升，但真正決定長期成本的，仍是企業能否從「定期修補」轉向「持續驗證與威脅 hunting」。
這次事件延續了大型企業應用程式長期被視為「可信環境」的傳統假設，但PeopleSoft與EBS顯示，高度整合、低曝光且維運困難的系統，正逐漸成為大型供應鏈攻擊的首要入口。類似SolarWinds、Log4Shell與 MOVEit事件，漏洞造成的實際影響，往往遠大於修補公告所呈現的範圍。
01 起因觸發｜Horizon3與ZDI相繼通報Oracle EBS及PeopleSoft漏洞，修補期間出現探索性利用。
02 一階傳導｜企業客戶須更新套件、稽核權限、清除web shell並重新驗證PeopleSoft環境。
03 二階擴散｜教育、醫療、農業、運輸與政府系統的供應商及關聯機構風險同步升高。
04 宏觀終局｜大型企業軟體的資安責任將由版本更新，轉向漏洞鏈管理與持續威脅偵測。
領域延伸情報推薦 相關延伸研讀
依主題領域自動關聯之高參考價值外電情報
