Oracle EBS: primeros intentos de explotación de la CVE-2026-101767

Una semana después del Critical Patch Update de octubre, una de las vulnerabilidades críticas de Oracle E-Business Suite (EBS) corregidas el 20 de octubre ya está en el punto de mira. La empresa de inteligencia de amenazas Defused informó en X de que sus sistemas señuelo con EBS registraron, la mañana del 27 de octubre, los primeros exploits exploratorios contra CVE-2026-101767, una inyección SQL sin autenticación que puede llevar a la ejecución remota de código. Se hicieron eco de la noticia SecurityWeek, BleepingComputer, The Hacker News, The Register, heise Security y Help Net Security.

En nuestro artículo sobre el CPU de octubre esta CVE no figuraba entre las cinco prioritarias señaladas por INCIBE-CERT: para E-Business Suite habíamos destacado CVE-2026-101809, en el Workflow Notification Mailer. Ahora hay un motivo concreto para no aplazar tampoco esta.

Qué se sabe de la explotación

Por ahora se trata de intentos, no de compromisos confirmados:

• Defused vio exploits «exploratorios» contra sus propios señuelos, no ataques con éxito contra empresas; BleepingComputer los describe como escaneos de Internet en busca de sistemas sin parchear.
• Según BleepingComputer, Oracle aún no ha marcado la CVE como explotada; The Register preguntó a Oracle si había documentado ataques con éxito y no recibió una respuesta inmediata.
• SecurityWeek y Help Net Security precisan que antes del aviso de Defused no había informes públicos de explotación.

Sobre la exposición hay dos cifras, y conviene leerlas con cautela. Shadowserver cuenta más de 670 instancias de EBS accesibles desde Internet, la mayoría con direcciones IP de Estados Unidos, sin poder decir cuántas son señuelos o ya están actualizadas (BleepingComputer). Censys, en su aviso del 28 de octubre citado por Help Net Security, cuenta 2.246 servicios web con EBS: cada combinación de nombre de host y puerto cuenta por separado, así que los servidores son menos, y los datos no muestran ni la versión ni el estado de los parches.

Detalles técnicos

• CVE: CVE-2026-101767, CVSS 3.1 9.8, vector AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H (asignado por Oracle).
• Producto: Oracle Application Object Library (componente Core) de Oracle E-Business Suite.
• Versiones soportadas afectadas: de la 12.2.3 a la 12.2.15.
• Vector: red, por HTTP, sin credenciales ni interacción del usuario. Según la descripción oficial, un ataque con éxito permite tomar el control de Application Object Library.
• Punto vulnerable: según Defused y Horizon3.ai, el servlet del Thin Client Framework, /OA_HTML/AppsTCFServer.

Descubrieron la vulnerabilidad Brandon Peterson, Jimi Sebree y Noah King, de Horizon3.ai, que la comunicaron a Oracle el 24 de julio, según Help Net Security. La cadena descrita por los investigadores:

1. una petición manipulada al servlet vulnerable ejecuta SQL con los privilegios del usuario de base de datos APPS;
2. el atacante puede leer o modificar los datos de la aplicación accesibles a APPS;
3. la misma cadena permite ejecutar comandos del sistema operativo con los privilegios de la cuenta de aplicación de EBS.

Según la instalación, advierte Horizon3.ai, los datos afectados pueden incluir registros contables, nóminas, recursos humanos y compras.

Una diferencia de clasificación: la ficha de NVD, todavía pendiente de análisis, indica como debilidades CWE-287 y CWE-306 (autenticación incorrecta o ausente), mientras que investigadores y medios hablan de inyección SQL.

MITRE ATT&CK (clasificación nuestra): T1595.002 (Vulnerability Scanning) para la búsqueda de sistemas expuestos, T1190 (Exploit Public-Facing Application) para la explotación, T1059 (Command and Scripting Interpreter) para la ejecución de comandos en el servidor de aplicaciones.

Por qué EBS atrae los ataques

Las fuentes recuerdan los precedentes. En 2025 el grupo Cl0p explotó como día cero CVE-2025-61882 para robar datos de organizaciones que usan EBS; según SecurityWeek, la campaña pudo afectar a más de 100 organizaciones de muchos sectores, desde la energía y las finanzas hasta la industria manufacturera y las telecomunicaciones. En junio de 2026 Defused ya había observado intentos contra CVE-2026-46817, en el componente File Transmissions del módulo Payments. Según BleepingComputer, desde noviembre de 2021 CISA ha incluido en su catálogo KEV 46 vulnerabilidades de Oracle, 13 de ellas usadas también en ataques de ransomware.

En el mismo artículo, The Register recoge otra novedad para quien usa Oracle: según la Zero Day Initiative, la vulnerabilidad de PeopleSoft explotada por ShinyHunters (CVE-2026-35273) incluye en realidad tres vulnerabilidades distintas, y el parche por sí solo podría no bastar para expulsar a los atacantes de sistemas ya comprometidos con web shells.

Impacto para las empresas europeas e italianas

Las fuentes no dan cifras para Europa ni para Italia. Sin embargo, EBS sostiene procesos administrativos centrales, y una instancia accesible desde Internet con una versión de la 12.2.3 a la 12.2.15 sin el parche de octubre debe tratarse como urgente.

• NIS2: para las entidades esenciales e importantes, la gestión de vulnerabilidades es una de las medidas del artículo 21; si aparece un compromiso con impacto significativo, se aplican los plazos de notificación del artículo 23, con la alerta temprana en 24 horas.
• RGPD: las nóminas y los datos del personal son datos personales; un acceso no autorizado puede requerir la notificación a la autoridad de control en 72 horas.

Qué hacer ya

1. Comprueba las versiones de todas las instancias de EBS, incluidas las de pruebas y desarrollo accesibles desde la red.
2. Aplica los parches del CPU de octubre para Application Object Library, junto con el de CVE-2026-101809, que afecta a las mismas versiones. Oracle recomienda mantenerse en versiones con soporte activo y actualizar sin demora: algunos ataques del pasado tuvieron éxito precisamente porque los clientes no habían aplicado los parches disponibles.
3. Si no puedes actualizar enseguida, Horizon3.ai aconseja quitar /OA_HTML/AppsTCFServer de la lista de rutas permitidas del URL firewall de EBS y limitar la capa web a redes de confianza.
4. Revisa la exposición: comprueba desde fuera si la capa web de EBS responde desde Internet y, si no es necesario, ciérrala.
5. Busca indicios de compromiso: Censys recomienda revisar cada instancia expuesta y sin parchear con los indicadores publicados por Horizon3.ai. En los registros de la capa web, busca peticiones a /OA_HTML/AppsTCFServer desde direcciones externas, sobre todo desde el 27 de octubre; en la base de datos, actividad anómala del usuario APPS; en el servidor, procesos iniciados por la cuenta de aplicación de EBS.
6. Prepara la respuesta: si encuentras rastros, conserva los registros, aísla el sistema y valora las obligaciones de notificación de NIS2 y del RGPD.

Cómo ayuda ARXDOME

ARX Expose y ARX Scout muestran qué servicios de tu empresa están expuestos en Internet y qué puertos están realmente abiertos: el primer paso para saber si una instancia de EBS es accesible desde fuera. ARX Radar, a partir de los registros del firewall, indica quién está atacando ahora los servicios expuestos, mientras que ARX Sentry recoge registros y eventos de los servidores, útiles para buscar las peticiones anómalas descritas anteriormente.

Última actualización: 29 de octubre de 2026