Oracle EBS: primi tentativi di sfruttamento della CVE-2026-101767

Una settimana dopo il Critical Patch Update di ottobre, una delle falle critiche di Oracle E-Business Suite (EBS) corrette il 20 ottobre è già nel mirino. La società di threat intelligence Defused ha segnalato su X che i suoi sistemi esca con EBS hanno registrato, la mattina del 27 ottobre, i primi exploit esplorativi contro CVE-2026-101767, una SQL injection senza autenticazione che può portare all’esecuzione di codice da remoto. La notizia è stata ripresa da SecurityWeek, BleepingComputer, The Hacker News, The Register, heise Security e Help Net Security.

Nel nostro articolo sul CPU di ottobre questa CVE non compariva tra le cinque prioritarie indicate da INCIBE-CERT: per E-Business Suite avevamo segnalato CVE-2026-101809, nel Workflow Notification Mailer. Ora c’è un motivo concreto per non rimandare anche questa.

Cosa sappiamo dello sfruttamento

Per ora si parla di tentativi, non di compromissioni confermate:

• Defused ha visto exploit «esplorativi» contro i propri sistemi esca, non attacchi riusciti contro aziende; BleepingComputer li descrive come scansioni di Internet alla ricerca di sistemi non aggiornati.
• Secondo BleepingComputer, Oracle non ha ancora indicato la CVE come sfruttata; The Register ha chiesto a Oracle se abbia documentato attacchi riusciti, senza ricevere una risposta immediata.
• SecurityWeek e Help Net Security precisano che prima della segnalazione di Defused non c’erano notizie pubbliche di sfruttamento.

Sull’esposizione i numeri sono due e vanno letti con cautela. Shadowserver conta oltre 670 istanze EBS raggiungibili da Internet, in maggioranza con indirizzi statunitensi, senza poter dire quante siano esche o già aggiornate (BleepingComputer). Censys, nell’avviso del 28 ottobre citato da Help Net Security, conta 2.246 servizi web con EBS: ogni combinazione di nome host e porta vale uno, quindi i server sono meno, e dai dati non si ricavano versione né stato delle patch.

Dettagli tecnici

• CVE: CVE-2026-101767, CVSS 3.1 9.8, vettore AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H (assegnato da Oracle).
• Prodotto: Oracle Application Object Library (componente Core) di Oracle E-Business Suite.
• Versioni supportate colpite: da 12.2.3 a 12.2.15.
• Vettore: rete, via HTTP, senza credenziali né interazione dell’utente. Secondo la descrizione ufficiale, un attacco riuscito porta al controllo di Application Object Library.
• Punto vulnerabile: secondo Defused e Horizon3.ai, il servlet del Thin Client Framework, /OA_HTML/AppsTCFServer.

La falla è stata scoperta da Brandon Peterson, Jimi Sebree e Noah King di Horizon3.ai e segnalata a Oracle il 24 luglio, secondo Help Net Security. La catena descritta dai ricercatori:

1. una richiesta costruita ad arte al servlet vulnerabile esegue SQL con i privilegi dell’utente di database APPS;
2. l’attaccante può leggere o modificare i dati applicativi accessibili ad APPS;
3. la stessa catena permette di eseguire comandi del sistema operativo con i privilegi dell’account applicativo di EBS.

A seconda dell’installazione, avverte Horizon3.ai, i dati coinvolti possono comprendere registrazioni contabili, buste paga, risorse umane e acquisti.

Una differenza di classificazione: la scheda NVD, ancora in attesa di analisi, indica come debolezze CWE-287 e CWE-306 (autenticazione non corretta o assente), mentre ricercatori e testate parlano di SQL injection.

MITRE ATT&CK (classificazione nostra): T1595.002 (Vulnerability Scanning) per la ricerca dei sistemi esposti, T1190 (Exploit Public-Facing Application) per lo sfruttamento, T1059 (Command and Scripting Interpreter) per l’esecuzione di comandi sul server applicativo.

Perché EBS attira gli attacchi

Le fonti ricordano i precedenti. Nel 2025 il gruppo Cl0p ha sfruttato come zero-day CVE-2025-61882 per rubare dati da organizzazioni che usano EBS; secondo SecurityWeek la campagna ha potenzialmente colpito oltre 100 organizzazioni in molti settori, dall’energia alla finanza, dalla manifattura alle telecomunicazioni. A giugno 2026 Defused aveva già osservato tentativi contro CVE-2026-46817, nel componente File Transmissions del modulo Payments. Secondo BleepingComputer, dal novembre 2021 CISA ha inserito nel catalogo KEV 46 vulnerabilità Oracle, 13 delle quali usate anche in attacchi ransomware.

Nello stesso articolo The Register riporta un’altra novità per chi usa Oracle: secondo la Zero Day Initiative, la falla di PeopleSoft sfruttata da ShinyHunters (CVE-2026-35273) comprende in realtà tre vulnerabilità distinte, e la sola patch potrebbe non bastare a togliere gli attaccanti da sistemi già compromessi con web shell.

Impatto per le aziende europee e italiane

Le fonti non danno numeri per l’Europa o per l’Italia. EBS regge però processi amministrativi centrali, e un’istanza raggiungibile da Internet in una versione da 12.2.3 a 12.2.15 senza la patch di ottobre va trattata come urgente.

• NIS2: per i soggetti essenziali e importanti la gestione delle vulnerabilità è una delle misure dell’articolo 21; se emerge una compromissione con impatto significativo, valgono i tempi di notifica dell’articolo 23, con il preallarme entro 24 ore.
• GDPR: buste paga e dati del personale sono dati personali; un accesso non autorizzato può richiedere la notifica al Garante entro 72 ore.

Cosa fare subito

1. Verifica le versioni di tutte le istanze EBS, comprese quelle di test e di sviluppo raggiungibili dalla rete.
2. Applica le patch del CPU di ottobre per Application Object Library, insieme a quella per CVE-2026-101809, che colpisce le stesse versioni. Oracle raccomanda di restare su versioni con supporto attivo e di aggiornare senza ritardo: alcuni attacchi del passato sono riusciti proprio perché i clienti non avevano applicato le patch disponibili.
3. Se non puoi aggiornare subito, Horizon3.ai consiglia di togliere /OA_HTML/AppsTCFServer dall’elenco dei percorsi consentiti dall’URL firewall di EBS e di limitare il livello web alle reti fidate.
4. Controlla l’esposizione: verifica dall’esterno se il livello web di EBS risponde da Internet e, se non serve, chiudilo.
5. Cerca segni di compromissione: Censys raccomanda di esaminare ogni istanza esposta e non aggiornata con gli indicatori pubblicati da Horizon3.ai. Nei log del livello web cerca richieste a /OA_HTML/AppsTCFServer da indirizzi esterni, soprattutto dal 27 ottobre; nel database, attività anomala dell’utente APPS; sul server, processi avviati dall’account applicativo di EBS.
6. Prepara la risposta: se trovi tracce, conserva i log, isola il sistema e valuta gli obblighi di notifica NIS2 e GDPR.

Come aiuta ARXDOME

ARX Expose e ARX Scout mostrano quali servizi della tua azienda sono esposti su Internet e quali porte sono davvero aperte: il primo passo per capire se un’istanza EBS è raggiungibile da fuori. ARX Radar, dai log del firewall, indica chi sta attaccando adesso i servizi esposti, mentre ARX Sentry raccoglie log ed eventi dai server, utili per cercare le richieste anomale descritte in precedenza.

Ultimo aggiornamento: 29 ottobre 2026