Atacantes ya buscan explotar CVE-2026-101767, una vulnerabilidad crítica en Oracle E-Business Suite (EBS), la plataforma de gestión empresarial de Oracle para finanzas, nómina, recursos humanos y compras. La firma de inteligencia de amenazas Defused Cyber registró los primeros intentos el 27 de octubre, apenas una semana después de que Oracle publicara la corrección. Cualquier organización con EBS sin parchear queda expuesta al robo o la alteración de sus datos más sensibles.
La falla tiene una puntuación CVSS de 9.8 sobre 10. CVSS es la escala estándar para medir la gravedad de una vulnerabilidad. Oracle la clasifica como autenticación indebida en el componente Oracle Application Object Library. Oracle la corrigió en su Critical Patch Update de octubre, su paquete trimestral de parches. Los investigadores Brandon Peterson, Jimi Sebree y Noah King, de Horizon3.ai, la reportaron a Oracle el 24 de julio de 2026.
Según el análisis de Horizon3.ai, se trata de una inyección SQL sin autenticación. Esta técnica consiste en introducir instrucciones de base de datos en una petición web. El punto vulnerable es el servlet Thin Client Framework (TCF), ubicado en la ruta /OA_HTML/AppsTCFServer. Un servlet es un componente que responde peticiones web en el servidor. Con una petición manipulada, el atacante ejecuta SQL con los privilegios del usuario de base de datos APPS. Desde ahí encadena la falla hasta la ejecución remota de código: corre comandos del sistema operativo con la cuenta de la aplicación EBS.
El alcance es amplio. El atacante puede leer o modificar los registros financieros, de nómina, de recursos humanos y de compras accesibles para APPS. Las instalaciones expuestas a internet son las de mayor riesgo. Sin embargo, un EBS interno también es vulnerable si el atacante llega al servlet desde un equipo comprometido u otro segmento de red. EBS es un blanco frecuente: en el último año, otras dos fallas críticas del producto, CVE-2025-61882 y CVE-2026-46817, fueron explotadas activamente. La primera la usó el grupo de ransomware y extorsión Cl0p.
La acción prioritaria es aplicar el Critical Patch Update de octubre. Si no es posible parchear de inmediato, Horizon3.ai recomienda tres medidas:
- Retirar /OA_HTML/AppsTCFServer, asociado a oracle.apps.fnd.tcf.SocketServer, de la lista de URL permitidas en el firewall de EBS.
- Restringir el acceso a la capa web de EBS solo a redes de confianza.
- Vigilar el servidor de aplicaciones y la base de datos en busca de señales de compromiso.
Los indicadores de compromiso, es decir, las huellas que deja un ataque, incluyen tres patrones. Primero, peticiones POST sin autenticación a /OA_HTML/AppsTCFServer que instancian la clase oracle.apps.jtf.gantt.server.GanttDataServer, seguidas de actividad en la base de datos. Segundo, consultas de reconocimiento SQL poco después de esas peticiones, como la versión de la base de datos, el usuario actual o los objetos de directorio. Tercero, archivos inesperados en $APPLPTMP y la cuenta oracle lanzando /bin/sh a través del Concurrent Manager.
Qué significa para tu empresa: Si usa Oracle EBS, confirme esta semana que el parche de octubre está instalado en todos los ambientes, incluidos los de pruebas y los internos. Mientras tanto, un WAF para aplicaciones permite bloquear el acceso a /OA_HTML/AppsTCFServer y filtrar patrones de inyección SQL frente a la capa web. Esta protección cubre la ventana entre la publicación del parche y su despliegue, que es justo cuando los atacantes actúan. Revise además los registros de los últimos días con los indicadores publicados por Horizon3.ai.
Fuente original: The Hacker News — ver artículo →