La firma de inteligencia de amenazas Defused Cyber ha emitido una alerta en la que señala que actores maliciosos ya están sondeando una vulnerabilidad crítica recién corregida en Oracle E-Business Suite (EBS). El fallo, identificado como CVE-2026-101767 y con una puntuación CVSS de 9.8, reside en la Biblioteca de Objetos de Aplicación de Oracle (Oracle Application Object Library) y fue subsanado por la compañía la semana pasada como parte de su ciclo de Actualización Crítica.
El hallazgo y la notificación del problema a Oracle se atribuyen a los investigadores de seguridad Brandon Peterson, Jimi Sebree y Noah King, del equipo de Horizon3.ai, quienes lo reportaron el 24 de julio de 2026.
Nuestros señuelos de Oracle E-Business Suite registraron esta mañana, 27 de octubre, intentos exploratorios de explotación contra CVE-2026-101767, una inyección SQL no autenticada en el servlet Thin Client Framework de EBS que se encadena hasta la ejecución remota de código.
Naturaleza del fallo y alcance del impacto
En el aviso publicado por Horizon3.ai se describe la vulnerabilidad como una inyección SQL sin autenticación que puede combinarse con otras técnicas para lograr ejecución remota de código. Según la empresa, un atacante con acceso de red al servlet Thin Client Framework (TCF) afectado puede ejecutar SQL con la identidad del usuario de base de datos APPS y, a partir de ahí, lanzar comandos del sistema operativo con las credenciales de la cuenta de aplicación de EBS.
Concretamente, basta con enviar una petición manipulada al servlet vulnerable en la ruta «/OA_HTML/AppsTCFServer» para ejecutar SQL con los privilegios de APPS y, en última instancia, habilitar la ejecución de comandos con los permisos de la cuenta de la aplicación EBS. Una explotación exitosa permitiría al atacante leer o modificar los datos de la aplicación accesibles para APPS y ejecutar instrucciones en el host de la aplicación.
Horizon3.ai advierte de que, según el despliegue, los datos afectados pueden incluir registros financieros, de nóminas, de recursos humanos y de compras. El acceso al sistema operativo dependerá de los permisos de la cuenta de aplicación de EBS comprometida.
Riesgo para sistemas expuestos y medidas de mitigación
Aunque los despliegues de EBS accesibles desde internet representan el mayor riesgo, los sistemas internos también pueden verse comprometidos si un atacante logra alcanzar el servlet vulnerable desde un equipo ya comprometido o desde otro segmento de red accesible. Por ello, se recomienda actualizar cuanto antes a la versión más reciente. Si el parcheo inmediato no es viable, pueden aplicarse las siguientes soluciones temporales:
- Eliminar /OA_HTML/AppsTCFServer, asociado a oracle.apps.fnd.tcf.SocketServer, de la lista de permitidos del cortafuegos de URL de EBS.
- Restringir el acceso a la capa web de EBS a redes de confianza.
- Supervisar el host de la aplicación EBS y la base de datos en busca de indicios de compromiso.
Horizon3.ai también ha compartido los siguientes indicadores de compromiso:
- Peticiones POST no autenticadas a /OA_HTML/AppsTCFServer que instancian la clase de servidor de datos de Gantt (oracle.apps.jtf.gantt.server.GanttDataServer), seguidas de actividad en la base de datos de backend.
- Reconocimiento SQL poco después de peticiones web no autenticadas (versión de la base de datos, usuario actual, objetos de directorio).
- Archivos inesperados en $APPLPTMP y la cuenta de Oracle lanzando /bin/sh a través del Gestor de Procesos Concurrentes para ejecutar comandos del sistema operativo.
Las vulnerabilidades de EBS son un objetivo prioritario para los atacantes. Durante el último año, dos fallos críticos del mismo producto (CVE-2025-61882 y CVE-2026-46817, ambos con puntuación CVSS de 9.8) han sido explotados activamente; el primero fue utilizado por el grupo de ransomware y extorsión Cl0p.
Deja una respuesta