Il 27 ottobre 2026 Defused Cyber ha segnalato tentativi esplorativi contro i propri sistemi-esca Oracle E-Business Suite (EBS) per la vulnerabilità CVE-2026-101767. Oracle aveva pubblicato il Critical Patch Update (CPU) di ottobre il 20 ottobre; secondo Horizon3.ai, l’aggiornamento correggeva il difetto. La segnalazione riguarda i sistemi-esca di Defused Cyber, non un attacco riuscito a un cliente.

Quali versioni di Oracle EBS sono interessate

Horizon3.ai indica come vulnerabili le versioni Oracle EBS dalla 12.2.3 alla 12.2.15, incluse. Il difetto riguarda Oracle Application Object Library, Core, e il servlet Thin Client Framework (TCF) raggiungibile all’indirizzo /OA_HTML/AppsTCFServer. Secondo Horizon3.ai, la configurazione predefinita del firewall URL di EBS consente questo servlet.

La vulnerabilità è un’iniezione SQL senza autenticazione. Per raggiungere il servlet serve accesso di rete tramite HTTP o HTTPS, ma non occorrono credenziali né interazione da parte di un utente. Horizon3.ai assegna al difetto un punteggio CVSS 3.1 di 9,8, classificato Critico.

Quale impatto può avere il difetto

La catena descritta da Horizon3.ai consente di eseguire query SQL con i privilegi dell’utente database APPS e, in seguito, comandi del sistema operativo con quelli dell’account applicativo EBS. L’esposizione dipende dai dati accessibili all’account APPS e dai permessi dell’account applicativo: tra i possibili dati coinvolti figurano documenti finanziari, paghe, informazioni sulle risorse umane e acquisti.

Un sistema EBS raggiungibile da Internet è direttamente esposto al servlet. Anche un’installazione interna può essere raggiunta da un host compromesso o da un segmento di rete accessibile, se l’attaccante riesce a collegarsi al servlet.

Patch e misure per gli amministratori

Oracle ha pubblicato il CPU di ottobre il 20 ottobre 2026. Oracle include EBS 12.2.3–12.2.15 nell’advisory e Horizon3.ai afferma che il CPU corregge CVE-2026-101767. L’advisory Oracle specifica che i patch CPU sono forniti per le versioni coperte da Premier Support o Extended Support. Oracle avverte inoltre che versioni precedenti potrebbero essere interessate e raccomanda di passare a versioni supportate.

Horizon3.ai raccomanda di applicare la patch pertinente. Fino all’installazione, indica tre misure per ridurre l’esposizione: rimuovere /OA_HTML/AppsTCFServer dalla allowlist del firewall URL EBS, limitare il web tier alle reti fidate e monitorare host applicativo e database. Queste misure non sostituiscono la patch. Oracle avverte che le soluzioni temporanee possono compromettere alcune funzionalità e consiglia di provarle fuori dall’ambiente di produzione.

Indicatori da monitorare

Horizon3.ai segnala come possibili indicatori difensivi:

  • richieste POST non autenticate a /OA_HTML/AppsTCFServer che istanziano oracle.apps.jtf.gantt.server.GanttDataServer, seguite da attività sul database;
  • ricognizione SQL dopo richieste web non autenticate;
  • file inattesi in $APPLPTMP;
  • l’account oracle che avvia /bin/sh tramite Concurrent Manager per eseguire comandi del sistema operativo.

Sono segnali da valutare nel contesto dell’installazione e delle sue attività amministrative.