El 27 de octubre de 2026, Defused Cyber informó de intentos exploratorios relacionados con CVE-2026-101767 contra sus señuelos de Oracle E-Business Suite (EBS). Oracle había publicado su actualización crítica de octubre el 20 de octubre; Horizon3.ai afirma que esa actualización corrige la vulnerabilidad.

Qué versiones de EBS están afectadas

Horizon3.ai identifica como vulnerables las versiones 12.2.3 a 12.2.15, ambas incluidas. El fallo afecta a Oracle Application Object Library, Core, y a su servlet Thin Client Framework (TCF), en la ruta /OA_HTML/AppsTCFServer.

La vulnerabilidad es una inyección SQL sin autenticación. Para explotarla hace falta acceso de red al servlet por HTTP o HTTPS, pero no se necesitan credenciales ni interacción de un usuario. Horizon3.ai le asigna una puntuación CVSS 3.1 de 9,8, crítica.

Qué acceso permitiría el fallo

Según Horizon3.ai, la cadena de ataque puede ejecutar consultas SQL con los permisos del usuario de base de datos APPS y, después, comandos del sistema operativo con los permisos de la cuenta de la aplicación EBS. El impacto dependería de los datos accesibles en cada instalación y de los permisos de esa cuenta; entre los datos potencialmente expuestos figuran registros financieros, de nóminas, recursos humanos y compras.

Los servidores web de EBS expuestos a Internet tienen acceso directo desde fuera. Un sistema interno también podría quedar al alcance si un atacante puede llegar al servlet desde un equipo comprometido o un segmento de red accesible.

Qué deben priorizar los administradores

Oracle publicó inicialmente su Critical Patch Update (CPU) de octubre el 20 de octubre de 2026. Horizon3.ai afirma que el CPU corrige CVE-2026-101767. Oracle indica que sus parches CPU se proporcionan para versiones cubiertas por Premier Support o Extended Support. Para versiones anteriores, Oracle señala que también podrían estar afectadas y recomienda actualizar a versiones con soporte.

Hasta instalar el parche aplicable, Horizon3.ai recomienda retirar /OA_HTML/AppsTCFServer de la lista de direcciones permitidas del firewall de URL de EBS, limitar el acceso al nivel web a redes de confianza y vigilar el servidor de aplicaciones y la base de datos. Estas medidas reducen la exposición, pero no sustituyen la corrección. Oracle advierte que las soluciones temporales pueden afectar al funcionamiento de la aplicación y recomienda probarlas fuera de producción.

Señales para revisar en los sistemas

Horizon3.ai enumera varios indicios que los equipos de seguridad pueden investigar:

  • Solicitudes POST sin autenticación a /OA_HTML/AppsTCFServer que instancien oracle.apps.jtf.gantt.server.GanttDataServer, seguidas de actividad en la base de datos.
  • Consultas de reconocimiento SQL poco después de solicitudes web no autenticadas.
  • Archivos inesperados en $APPLPTMP.
  • La cuenta oracle inicia /bin/sh a través de Concurrent Manager para ejecutar comandos del sistema operativo.

El aviso técnico de Horizon3.ai detalla el alcance de versiones, los requisitos de acceso y estas medidas de mitigación.