Oracle EBS и PeopleSoft атакуют через новые уязвимости

Атакующие прощупывают критическую SQL-инъекцию CVE-2026-101767 в Oracle E-Business Suite, ведущую к удалённому выполнению кода; патч вышел в октябре. Анализ ZDI показал, что эксплуатируемый ShinyHunters 0-day в PeopleSoft (CVE-2026-35273) на деле состоит из трёх отдельных уязвимостей.

• CVE-2026-101767 — SQL-инъекция без аутентификации в EBS с цепочкой до RCE
• Патч Oracle вышел в октябре, но эксплойты уже фиксируются 27 октября
• PeopleSoft-0-day ShinyHunters объединяет SSRF, запись файлов и десериализацию
• ZDI просит Oracle присвоить каждой из трёх уязвимостей отдельный CVE