אורקל פרסמה התרעת אבטחה ייעודית, מחוץ למחזור העדכונים הרבעוני הרגיל שלה, על חולשה ברכיב Configurator של Oracle E-Business Suite. לפי הרשומה, תוקף לא מזוהה יכול לנצל אותה דרך HTTP בלבד, והתוצאה היא גישה למידע רגיש. הציון הוא 7.5 מתוך 10.

מה החולשה?

Oracle E-Business Suite היא חבילת מערכות ניהול שארגונים מריצים על שרתים שלהם, וה-Configurator הוא הרכיב שמאפשר להרכיב מוצר או הזמנה מתוך אפשרויות. החלק הפגיע הוא ה-Runtime UI, כלומר הממשק שדרכו המשתמש עובד מול הרכיב הזה בפועל.

הסיווג שהרשומה נותנת הוא Path Traversal, מצב שבו נתיב שהגיע מבחוץ אינו נשאר בתוך התחום שהוגדר לו ואפשר להשתמש בו כדי להגיע לקבצים אחרים. מכיוון שהממשק נגיש דרך HTTP ואינו דורש הזדהות, מי שמגיע לכתובת יכול לנסות.

כדאי לקרוא את הווקטור עד הסוף, כי הוא מצמצם. ההשפעה מסומנת על סודיות בלבד, בלי פגיעה בשלמות המידע ובלי פגיעה בזמינות. במילים אחרות, מדובר בקריאה של מידע ולא בשינוי שלו ולא בהשבתה. זה עדיין מידע שיוצא החוצה ממערכת ליבה ארגונית.

מי מושפע?

הגרסאות שהרשומה מסמנת הן 12.2.3 עד 12.2.14 של Oracle Configurator בתוך E-Business Suite. זו מערכת ארגונית גדולה, ומי שמפעיל אותה יודע היטב שהוא מפעיל אותה.

השאלה המעשית אינה רק איזו גרסה מותקנת, אלא האם ה-Configurator נגיש מהאינטרנט. מערכת EBS שכולה בתוך הרשת הפנימית מציגה כאן סיכון אחר לגמרי ממערכת שממשקים שלה פתוחים החוצה לספקים וללקוחות.

האם מנוצלת בפועל?

כן. הרשומה פורסמה ב-NVD ב-12 באוקטובר 2025, ושמונה ימים אחר כך, ב-20 באוקטובר, היא נוספה לקטלוג ה-KEV של סוכנות הסייבר האמריקאית CISA, רשימת החולשות שידוע שתוקפים משתמשים בהן בפועל. המועד שנקבע לגופים הפדרליים האמריקאיים לסיים את התיקון היה 10 בנובמבר 2025.

ההקשר רחב מהחולשה הזאת לבדה. בין המקורות שהרשומה מצרפת יש מחקר של watchTowr על שרשרת ניצול אחרת באותה חבילה, כלומר Oracle E-Business Suite הייתה תחת תשומת לב ממוקדת באותה תקופה.

מה עושים?

התקינו את העדכון לפי ההתרעה של אורקל על החולשה הזאת. זו התרעה נקודתית ולא עדכון רבעוני, ולכן היא אינה מגיעה מעצמה עם מחזור העדכונים הרגיל.

הרשומה מצרפת גם הודעה של אורקל על החלת מחזור העדכונים של יולי 2025, ושווה לוודא שהוא אכן הותקן אצלכם לפני שמחילים תיקון נקודתי מעליו.

בזמן שהעדכון מתוכנן, בדקו אם ה-Configurator חייב להיות נגיש מהאינטרנט. החולשה אינה דורשת הזדהות, ולכן צמצום מי שיכול להגיע לממשק הוא ההקטנה המיידית של החשיפה.