Han comenzado a probar una vulnerabilidad crítica en Oracle E-Business Suite que podría permitirles ejecutar comandos sin necesidad de iniciar sesión. La empresa de inteligencia de amenazas Defused detectó intentos de explotación exploratoria el 27 de octubre de 2026; no obstante, no se ha confirmado que haya ataques exitosos contra sistemas de clientes y Oracle ya había lanzado un parche previamente.

La vulnerabilidad crítica de Oracle E-Business Suite que puede permitirles ejecutar comandos sin necesidad de iniciar sesión. La empresa de inteligencia de amenazas Defused informó sobre intentos de explotación exploratorios contra sus sistemas señuelo el 27 de octubre de 2026.

Sin embargo, estas observaciones no confirman ataques exitosos contra sistemas de clientes, y Oracle ya había lanzado un parche antes de que se detectara la actividad.

Rastreada como CVE-2026-101767, la falla tiene una puntuación CVSS crítica de 9.8. Horizon3.ai descubrió el problema y lo reportó a Oracle el 24 de julio. Oracle lo solucionó el 20 de octubre a través de su Actualización Crítica de Parches de Octubre. Aunque inicialmente se reportó de forma privada como un zero-day, ya era una vulnerabilidad parcheada y divulgada públicamente cuando Defused observó los sondeos.

Vulnerabilidad 0-Day de Oracle EBS

La debilidad afecta al componente Core de Oracle Application Object Library en las versiones de EBS 12.2.3 hasta la 12.2.15. Requiere acceso a la red a través de HTTP o HTTPS, pero no necesita credenciales válidas ni interacción del usuario.

Según el aviso técnico de Horizon3.ai, el servlet vulnerable Thin Client Framework es accesible en /OA_HTML/AppsTCFServer. Una solicitud manipulada puede provocar una inyección SQL, lo que permite a un atacante enviar comandos de base de datos como el poderoso usuario de base de datos APPS. Ese acceso puede luego encadenarse para la ejecución de comandos del sistema operativo bajo la cuenta de aplicación EBS.

El impacto se extiende más allá del acceso a la base de datos. Una explotación exitosa podría exponer o alterar registros financieros, de nóminas, de recursos humanos y de compras accesibles para APPS. Los comandos se ejecutan con los permisos de la cuenta de aplicación, en lugar de otorgar automáticamente un control administrativo total sobre el host.

Defused describió el tráfico del 27 de octubre como "exploits exploratorios" contra sus señuelos de Oracle EBS. Según los informes, no han surgido otros reportes públicos de explotación. Esto respalda la notificación de intentos de explotación activos, pero no brechas confirmadas, robo de datos o una campaña generalizada.

La distinción es importante porque Oracle EBS ha enfrentado ataques dañinos anteriormente. Se documentó la explotación por parte de Cl0p de un zero-day separado de Oracle EBS, CVE-2025-61882. Esa campaña anterior no debe confundirse con los sondeos del servlet TCF observados recientemente.

Debes aplicar los parches correspondientes de octubre a la brevedad. Hasta entonces, Horizon3.ai recomienda eliminar el servlet de la lista de permitidos del firewall de URL de EBS y restringir el acceso web a redes confiables. El firewall de URL predeterminado permite el endpoint, por lo que las comprobaciones de configuración son importantes.

Si eres defensor, debes revisar las solicitudes POST no autenticadas que invoquen a GanttDataServer, especialmente cuando vayan seguidas de consultas a la base de datos. Otras señales de advertencia incluyen archivos inesperados en $APPLPTMP y la cuenta oracle lanzando /bin/sh a través del Concurrent Manager. Las restricciones de acceso reducen la exposición, pero no sustituyen al parcheo.