Уязвимость в Oracle HRMS (US) из состава E-Business Suite — CVE-2026-83383

В начале 2026 года в каталоге CVE появилась запись о новой уязвимости в корпоративном ПО Oracle. Речь идёт о проблеме в компоненте Internal Operations продукта Oracle HRMS (US), входящего в состав Oracle E-Business Suite. Несмотря на средний уровень оценки, уязвимость затрагивает одну из наиболее чувствительных категорий корпоративных систем — кадровый учёт, где хранятся персональные и финансовые данные сотрудников.

Подробности

Уязвимость CVE-2026-83383 затрагивает Oracle HRMS (US) версий 12.2.3–12.2.15. По классификации Oracle проблема относится к категории «легко эксплуатируемых»: она позволяет атакующему с низкими привилегиями и сетевым доступом по протоколу HTTP скомпрометировать продукт. Успешная эксплуатация приводит к несанкционированному доступу к критичным данным либо к полному доступу ко всем данным Oracle HRMS (US), доступным пользователю системы.

Базовый балл CVSS 3.1 составляет 6.5 (MEDIUM) с вектором CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N. Из вектора следует, что атака проводится удалённо по сети, не требует сложных условий и участия пользователя, но нуждается в наличии учётной записи с низкими привилегиями. Влияние ограничивается конфиденциальностью: возможна утечка данных, тогда как целостность и доступность системы не страдают.

Отдельно стоит отметить, что наличие действующей низкопривилегированной учётной записи — распространённая ситуация в крупных инсталляциях E-Business Suite, где доступ к HR-модулям имеют сотрудники кадровых служб, руководители подразделений и подрядчики. Это повышает практическую значимость уязвимости, несмотря на средний балл.

Что делать

Основная рекомендация — установить обновления Oracle, выпущенные в рамках очередного CPU (Critical Patch Update) и закрывающие CVE-2026-83383 для затронутых версий 12.2.3–12.2.15. Перед обновлением следует свериться с матрицей поддерживаемых версий и документацией Oracle по конкретному патчу.

До применения патча целесообразно применить компенсирующие меры: ограничить сетевой доступ к интерфейсам Oracle HRMS (US) на периметре (не публиковать их в интернет, использовать VPN и сегментацию), провести ревизию учётных записей с низкими привилегиями и отозвать неиспользуемые, включить журналирование и мониторинг аномальных запросов к HR-модулю. Также рекомендуется проверить, не было ли попыток несанкционированного доступа к кадровым данным за период, предшествующий установке патча.

Уязвимость CVE-2026-83383 напоминает, что даже «средние» по шкале CVSS проблемы в HR-системах требуют внимания: утечка кадровых и персональных данных чревата не только репутационными, но и регуляторными последствиями. Организациям, использующим Oracle E-Business Suite, стоит включить этот патч в ближайшее окно обслуживания и проверить настройки доступа к HRMS-интерфейсам.

Источник: CVE Project (cvelistV5)