Il 27 ottobre 2026 Defused ha segnalato tentativi esplorativi contro i propri sistemi-esca Oracle E-Business Suite (EBS) relativi alla vulnerabilità CVE-2026-101767. L’osservazione riguarda honeypot, sistemi-esca usati per rilevare attività ostili. Oracle aveva già incluso la correzione nel Critical Patch Update del 20 ottobre.
Quali versioni di Oracle EBS sono interessate
La matrice Oracle di ottobre indica Oracle Application Object Library, componente Core, nelle versioni EBS dalla 12.2.3 alla 12.2.15. Oracle assegna alla vulnerabilità un punteggio CVSS 3.1 di 9,8. Il vettore descrive un attacco via rete e HTTP, senza autenticazione, privilegi o interazione dell’utente; un attacco riuscito può compromettere Oracle Application Object Library. La matrice dei rischi Oracle riporta ambito e condizioni.
Il percorso tecnico descritto per la vulnerabilità
Horizon3.ai identifica il servlet /OA_HTML/AppsTCFServer, associato al Thin Client Framework. Descrive la falla come un’iniezione SQL non autenticata: la catena tecnica può arrivare all’esecuzione di comandi del sistema operativo con l’account dell’applicazione EBS. L’analisi tecnica di Horizon3.ai indica anche che la configurazione predefinita del firewall URL EBS consente l’endpoint.
Per valutare l’esposizione, confronta la versione EBS in uso con l’intervallo indicato da Oracle e dai priorità all’applicazione della correzione.
La patch Oracle e i controlli temporanei
Oracle ha pubblicato il Critical Patch Update di ottobre il 20 ottobre 2026 e vi ha incluso la correzione per CVE-2026-101767. L’avviso ufficiale Oracle riporta l’aggiornamento.
In attesa di applicarlo, Horizon3.ai raccomanda di rimuovere /OA_HTML/AppsTCFServer dalla allowlist del firewall URL, limitare l’accesso al web tier EBS alle reti fidate e monitorare l’host applicativo e il database. Queste misure riducono l’esposizione, ma non sostituiscono la patch.
