Oracle EBS: primele tentative de exploatare a CVE-2026-101767

La o săptămână după Critical Patch Update-ul din octombrie, una dintre vulnerabilitățile critice din Oracle E-Business Suite (EBS) corectate pe 20 octombrie este deja vizată. Compania de threat intelligence Defused a anunțat pe X că sistemele sale capcană cu EBS au înregistrat, în dimineața zilei de 27 octombrie, primele exploit-uri exploratorii împotriva CVE-2026-101767, o SQL injection fără autentificare care poate duce la execuție de cod de la distanță. Știrea a fost preluată de SecurityWeek, BleepingComputer, The Hacker News, The Register, heise Security și Help Net Security.

În articolul nostru despre CPU-ul din octombrie, acest CVE nu se număra printre cele cinci prioritare semnalate de INCIBE-CERT: pentru E-Business Suite evidențiaserăm CVE-2026-101809, din Workflow Notification Mailer. Acum există un motiv concret să nu amâni nici această corecție.

Ce se știe despre exploatare

Deocamdată este vorba de tentative, nu de compromiteri confirmate:

• Defused a văzut exploit-uri „exploratorii” împotriva propriilor capcane, nu atacuri reușite împotriva companiilor; BleepingComputer le descrie ca scanări ale internetului în căutarea sistemelor neactualizate.
• Potrivit BleepingComputer, Oracle nu a marcat încă CVE-ul ca exploatat; The Register a întrebat Oracle dacă a documentat atacuri reușite și nu a primit un răspuns imediat.
• SecurityWeek și Help Net Security precizează că înainte de semnalarea Defused nu existau rapoarte publice de exploatare.

Despre expunere există două cifre, care trebuie citite cu prudență. Shadowserver numără peste 670 de instanțe EBS accesibile din internet, cele mai multe cu adrese IP din Statele Unite, fără să poată spune câte sunt capcane sau sunt deja actualizate (BleepingComputer). Censys, în avizul din 28 octombrie citat de Help Net Security, numără 2.246 de servicii web cu EBS: fiecare combinație de nume de gazdă și port se numără separat, deci serverele sunt mai puține, iar datele nu arată nici versiunea, nici starea corecțiilor.

Detalii tehnice

• CVE: CVE-2026-101767, CVSS 3.1 9.8, vector AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H (atribuit de Oracle).
• Produs: Oracle Application Object Library (componenta Core) din Oracle E-Business Suite.
• Versiuni suportate afectate: de la 12.2.3 la 12.2.15.
• Vector: rețea, prin HTTP, fără credențiale și fără interacțiunea utilizatorului. Potrivit descrierii oficiale, un atac reușit duce la preluarea controlului asupra Application Object Library.
• Punctul vulnerabil: potrivit Defused și Horizon3.ai, servlet-ul Thin Client Framework, /OA_HTML/AppsTCFServer.

Vulnerabilitatea a fost descoperită de Brandon Peterson, Jimi Sebree și Noah King de la Horizon3.ai și raportată către Oracle pe 24 iulie, potrivit Help Net Security. Lanțul descris de cercetători:

1. o cerere construită special către servlet-ul vulnerabil execută SQL cu privilegiile utilizatorului de bază de date APPS;
2. atacatorul poate citi sau modifica datele aplicației accesibile lui APPS;
3. același lanț permite executarea de comenzi ale sistemului de operare cu privilegiile contului de aplicație EBS.

În funcție de instalare, avertizează Horizon3.ai, datele afectate pot include înregistrări financiare, salarizare, resurse umane și achiziții.

O diferență de clasificare: fișa NVD, încă în așteptarea analizei, indică drept slăbiciuni CWE-287 și CWE-306 (autentificare incorectă sau absentă), în timp ce cercetătorii și publicațiile vorbesc de SQL injection.

MITRE ATT&CK (clasificarea noastră): T1595.002 (Vulnerability Scanning) pentru căutarea sistemelor expuse, T1190 (Exploit Public-Facing Application) pentru exploatare, T1059 (Command and Scripting Interpreter) pentru executarea de comenzi pe serverul de aplicație.

De ce atrage EBS atacurile

Sursele amintesc precedentele. În 2025, grupul Cl0p a exploatat ca zero-day CVE-2025-61882 pentru a fura date de la organizații care folosesc EBS; potrivit SecurityWeek, campania a afectat potențial peste 100 de organizații din multe sectoare, de la energie și finanțe la industria prelucrătoare și telecomunicații. În iunie 2026, Defused observase deja tentative împotriva CVE-2026-46817, în componenta File Transmissions a modulului Payments. Potrivit BleepingComputer, din noiembrie 2021 CISA a adăugat în catalogul KEV 46 de vulnerabilități Oracle, dintre care 13 au fost folosite și în atacuri ransomware.

În același articol, The Register mai semnalează o noutate pentru cine folosește Oracle: potrivit Zero Day Initiative, vulnerabilitatea PeopleSoft exploatată de ShinyHunters (CVE-2026-35273) cuprinde de fapt trei vulnerabilități distincte, iar corecția singură s-ar putea să nu fie suficientă pentru a elimina atacatorii din sistemele deja compromise cu web shell-uri.

Impactul pentru companiile europene și italiene

Sursele nu dau cifre pentru Europa sau pentru Italia. EBS susține însă procese administrative centrale, iar o instanță accesibilă din internet, într-o versiune de la 12.2.3 la 12.2.15 fără corecția din octombrie, trebuie tratată ca urgentă.

• NIS2: pentru entitățile esențiale și importante, gestionarea vulnerabilităților este una dintre măsurile de la articolul 21; dacă apare o compromitere cu impact semnificativ, se aplică termenele de notificare de la articolul 23, cu avertizarea timpurie în 24 de ore.
• GDPR: datele de salarizare și cele ale personalului sunt date cu caracter personal; un acces neautorizat poate necesita notificarea autorității de supraveghere în 72 de ore.

Ce ai de făcut acum

1. Verifică versiunile tuturor instanțelor EBS, inclusiv cele de test și de dezvoltare accesibile din rețea.
2. Aplică corecțiile din CPU-ul din octombrie pentru Application Object Library, împreună cu cea pentru CVE-2026-101809, care afectează aceleași versiuni. Oracle recomandă să rămâi pe versiuni cu suport activ și să actualizezi fără întârziere: unele atacuri din trecut au reușit tocmai pentru că clienții nu aplicaseră corecțiile disponibile.
3. Dacă nu poți actualiza imediat, Horizon3.ai recomandă să scoți /OA_HTML/AppsTCFServer din lista de căi permise a URL firewall-ului EBS și să limitezi nivelul web la rețele de încredere.
4. Verifică expunerea: controlează din exterior dacă nivelul web EBS răspunde din internet și, dacă nu este necesar, închide-l.
5. Caută semne de compromitere: Censys recomandă examinarea fiecărei instanțe expuse și neactualizate cu indicatorii publicați de Horizon3.ai. În jurnalele nivelului web, caută cereri către /OA_HTML/AppsTCFServer de la adrese externe, mai ales începând cu 27 octombrie; în baza de date, activitate anormală a utilizatorului APPS; pe server, procese pornite de contul de aplicație EBS.
6. Pregătește răspunsul: dacă găsești urme, păstrează jurnalele, izolează sistemul și evaluează obligațiile de notificare NIS2 și GDPR.

Cum te ajută ARXDOME

ARX Expose și ARX Scout arată ce servicii ale companiei tale sunt expuse pe internet și ce porturi sunt cu adevărat deschise: primul pas pentru a afla dacă o instanță EBS poate fi accesată din exterior. ARX Radar, pe baza jurnalelor firewall-ului, arată cine atacă acum serviciile expuse, iar ARX Sentry colectează jurnale și evenimente de pe servere, utile pentru a căuta cererile anormale descrise mai sus.

Ultima actualizare: 29 octombrie 2026