Parche de Oracle con solo 7 días: la vulnerabilidad de E-Business Suite ya está siendo puesta a prueba

Una vulnerabilidad crítica en Oracle E-Business Suite atrajo intentos de comprobar la seguridad casi inmediatamente después de la publicación del parche. La empresa Defused registró el 27 de octubre intentos exploratorios de explotación en cebos EBS. La observación apareció apenas siete días después del parche de octubre de Oracle.

Se trata de la crítica CVE-2026-101767, con una puntuación de 9,8 según CVSS 3.1. El fallo está en el componente principal Oracle Application Object Library y afecta a E-Business Suite en las versiones 12.2.3–12.2.15. Para explotarla basta con acceso de red por HTTP o HTTPS; no se requiere cuenta ni interacción del usuario.

Horizon3.ai, que descubrió el problema, divulgó la cadena de ataque tras la publicación del parche. La inyección SQL se encuentra en el servlet Thin Client Framework en /OA_HTML/AppsTCFServer. El riesgo se ve aumentado por la configuración predeterminada: el filtro de URL de EBS permite solicitudes a ese punto de enlace vulnerable.

Una petición especialmente formada permite ejecutar comandos SQL con los privilegios del usuario de base de datos APPS. A partir de ahí la cadena puede continuar hasta ejecutar comandos del sistema operativo en nombre de la cuenta de la aplicación EBS. Según la configuración, a través de APPS pueden exponerse datos financieros, de recursos humanos, de nómina y de compras; sin embargo, los privilegios a nivel del sistema operativo están limitados a la cuenta EBS.

Defused calificó la actividad observada como exploratoria. No hay confirmaciones públicas de compromisos exitosos de organizaciones reales mediante CVE-2026-101767 al momento de la publicación. Las trampas solo muestran que el mecanismo ya ha despertado interés entre los atacantes y se ha iniciado la comprobación de sistemas EBS accesibles. Ese estado difiere de una explotación confirmada y no prueba robo de datos ni persistencia en la infraestructura.

Horizon3.ai informó a Oracle el 24 de julio, cuando la vulnerabilidad aún no tenía parche. El parche se publicó el 20 de octubre como parte del Critical Patch Update. En ese conjunto de octubre Oracle corrigió 194 problemas de E-Business Suite, incluyendo 31 fallos que pueden explotarse de forma remota sin autenticación. En verano la empresa ya había publicado para los productos de Oracle un paquete importante de correcciones.

El interés por EBS no se limita al nuevo fallo. En 2025 otra vulnerabilidad de la plataforma se utilizó para el robo de datos corporativos, y las consecuencias de esa campaña siguieron manifestándose en 2026. Uno de los incidentes confirmados afectó a Michelin, que reconoció la fuga de datos después del ataque a la infraestructura de Oracle E-Business Suite.

Para sistemas sin parche, Horizon3.ai recomienda eliminar /OA_HTML/AppsTCFServer de la lista de URL permitidas, restringir el acceso a la capa web de EBS a redes de confianza y vigilar la actividad inusual de la aplicación y la base de datos. Entre los indicadores de ataque mencionan solicitudes POST al servlet con GanttDataServer, reconocimiento SQL tras las peticiones, archivos inesperados en $APPLPTMP y la ejecución de /bin/sh por la cuenta oracle. Las mitigaciones reducen el riesgo, pero no sustituyen la actualización.