Atores de ameaça já testam vulnerabilidade recém-corrigida no Oracle E-Business Suite
Grupos maliciosos começaram a sondar uma falha de segurança crítica no Oracle E-Business Suite (EBS) poucos dias após o lançamento da correção oficial, segundo relatado pela empresa de inteligência de ameaças Defused Cyber. A vulnerabilidade, identificada como CVE-2026-101767, recebeu pontuação máxima de 9.8 no sistema CVSS e reside na Oracle Application Object Library do pacote de aplicações empresariais.
A correção foi disponibilizada pela Oracle na semana passada como parte de sua Atualização Crítica de Patches (CPU). A descoberta e o relato responsável são creditados aos pesquisadores Brandon Peterson, Jimi Sebree e Noah King, da Horizon3.ai, que notificaram o fornecedor em 24 de julho de 2026.
Exploração observada em honeypots
Em publicação na plataforma X, a Defused Cyber informou que seus iscas (decoys) de Oracle EBS registraram tentativas de exploração exploratórias contra a CVE-2026-101767 na manhã de 27 de outubro. A falha é descrita como uma injeção SQL não autenticada no servlet Thin Client Framework (TCF) do EBS, que pode ser encadeada para obter execução remota de código (RCE).
Conforme o aviso técnico da Horizon3.ai, a vulnerabilidade permite que um invasor com acesso de rede ao servlet TCF vulnerável execute comandos SQL com os privilégios do usuário de banco de dados APPS e, subsequentemente, execute comandos do sistema operacional com as permissões da conta de aplicação do EBS.
Mecanismo técnico e impacto potencial
Especificamente, o atacante pode enviar uma requisição manipulada para o endpoint vulnerável em “/OA_HTML/AppsTCFServer” para executar SQL como o usuário APPS e, por fim, habilitar a execução de comandos de sistema com os privilégios da conta de aplicação do EBS. A exploração bem-sucedida permite a leitura ou modificação de dados acessíveis ao usuário APPS, além da execução de comandos no host da aplicação.
Dependendo da implantação, os dados afetados podem incluir registros financeiros, de folha de pagamento, recursos humanos e aquisições. O acesso ao sistema operacional é regido pelas permissões da conta de aplicação EBS comprometida.
Embora implantações de EBS expostas à internet apresentem o maior risco, sistemas internos também podem ser explorados caso um invasor consiga alcançar o servlet vulnerável a partir de um sistema já comprometido ou de outro segmento de rede acessível.
Mitigação e contexto histórico
A recomendação é atualizar para a versão mais recente o mais rápido possível. Caso a aplicação imediata do patch não seja viável, soluções alternativas (workarounds) podem ser aplicadas, e indicadores de comprometimento (IoCs) foram compartilhados pela Horizon3.ai para auxiliar na detecção.
Vulnerabilidades no EBS têm sido alvos frequentes. Nos últimos doze meses, duas falhas críticas no mesmo produto — CVE-2025-61882 e CVE-2026-46817, ambas com CVSS 9.8 — foram exploradas ativamente, sendo a primeira utilizada pelo grupo de ransomware e extorsão Cl0p.
Com informações de: The Hacker News