Los atacantes exploran una vulnerabilidad crítica de Oracle EBS días después del lanzamiento del parche

Los actores de amenazas han comenzado a explorar una vulnerabilidad crítica recién parcheada en Oracle E-Business Suite (EBS), apenas unos días después de que Oracle lanzara la corrección. La vulnerabilidad, identificada como CVE-2026-101767, tiene una puntuación CVSS de 9.8 y permite la ejecución remota de código sin autenticación. La firma de seguridad Defused Cyber reportó intentos de explotación activa el 27 de octubre de 2026, destacando la rápida respuesta de los atacantes ante los parches de software empresarial.

Qué ocurrió

Oracle abordó esta brecha de seguridad en su Critical Patch Update publicado la semana pasada. El fallo reside en la Oracle Application Object Library, específicamente relacionado con mecanismos de autenticación inadecuados. Los investigadores Brandon Peterson, Jimi Sebree y Noah King de Horizon3.ai descubrieron el problema y lo reportaron a Oracle el 24 de julio de 2026. A pesar de que el parche estaba disponible, la inteligencia de amenazas indica que los actores maliciosos ya están escaneando sistemas vulnerables.

Defused Cyber señaló que sus sistemas señuelo registraron exploits exploratorios dirigidos a esta vulnerabilidad específica en la mañana del 27 de octubre. El vector de ataque implica una inyección SQL no autenticada dentro del servlet Thin Client Framework (TCF). Esta brecha inicial puede encadenarse para lograr la ejecución remota completa de código, otorgando a los atacantes un control significativo sobre el servidor afectado. La velocidad con la que aparecieron estas sondas subraya el alto valor que los atacantes asignan al compromiso de los sistemas de planificación de recursos empresariales.

Horizon3.ai explicó que la vulnerabilidad permite a un atacante con acceso de red al servlet TCF ejecutar comandos SQL como el usuario de base de datos APPS. Desde allí, el atacante puede escalar privilegios para ejecutar comandos del sistema operativo como la cuenta de aplicación EBS. Esta cadena de explotación evade las comprobaciones estándar de autenticación, permitiendo a usuarios no autorizados interactuar directamente con la base de datos backend y el sistema host subyacente.

Detalles clave

• ID de la vulnerabilidad: CVE-2026-101767 con una puntuación de severidad CVSS de 9.8.
• Vector de ataque: Inyección SQL no autenticada en el servlet Thin Client Framework en /OA_HTML/AppsTCFServer.
• Impacto: Permite la ejecución de SQL como el usuario APPS y comandos del SO como la cuenta de aplicación EBS.
• Datos en riesgo: Registros financieros, de nómina, de RR. HH. y de adquisiciones accesibles para el usuario de la base de datos APPS.
• Descubrimiento: Reportado por investigadores de Horizon3.ai el 24 de julio de 2026; parcheado por Oracle a finales de octubre de 2026.
• Explotación activa: Defused Cyber detectó intentos de sondeo el 27 de octubre de 2026.

Contexto

Oracle E-Business Suite es un conjunto integral de aplicaciones empresariales utilizado por muchas grandes organizaciones para gestionar finanzas, recursos humanos y operaciones de la cadena de suministro. Debido a que maneja datos corporativos sensibles, es un objetivo frecuente para los ciberdelincuentes. El componente específico afectado aquí, el Thin Client Framework, facilita la comunicación entre la interfaz web y la base de datos backend. Cuando los controles de autenticación en tales frameworks fallan, los atacantes pueden inyectar comandos SQL maliciosos para manipular o extraer datos sin necesidad de credenciales válidas.

La ejecución remota de código (RCE) es uno de los tipos más graves de vulnerabilidades de seguridad. Permite a un atacante ejecutar comandos arbitrarios en el servidor que aloja la aplicación. En este caso, el atacante obtiene los permisos de la cuenta de aplicación EBS. Si bien esto no siempre equivale a un acceso root completo, es suficiente para leer o modificar datos empresariales críticos y potencialmente pivotar hacia otras partes de la red interna. Fallos críticos anteriores en EBS, como CVE-2025-61882, han sido aprovechados por grupos de ransomware como Cl0p, lo que hace esencial el parcheo oportuno.

Por qué importa

Para los equipos que gestionan software empresarial autoalojado, este incidente ilustra la estrecha ventana entre el lanzamiento del parche y la explotación activa. Los atacantes a menudo invierten ingeniería en los parches para crear scripts de exploit en cuestión de horas o días. Si su organización ejecuta Oracle EBS, retrasar la actualización expone sus datos financieros y de RR. HH. a un riesgo inmediato. Incluso las instancias internas son vulnerables si un atacante obtiene un punto de apoyo en otro lugar de la red, ya que el exploit no requiere exposición a internet para tener éxito una vez dentro del perímetro.

La naturaleza de los datos en juego amplifica el impacto. Los registros comprometidos de nómina y RR. HH. pueden conducir al robo de identidad, fraude y sanciones regulatorias significativas. Además, el acceso al sistema operativo permite a los atacantes instalar backdoors persistentes o ransomware. Para los líderes de TI, esto refuerza la necesidad de procesos robustos de gestión de vulnerabilidades que prioricen los parches críticos para aplicaciones orientadas al cliente y con alta carga de datos. Confiar únicamente en firewalls de perímetro es insuficiente cuando la vulnerabilidad permite acceso no autenticado a servicios centrales.

Qué puede hacer

• Aplique inmediatamente el último Oracle Critical Patch Update para abordar CVE-2026-101767.
• Si el parcheo no es posible de inmediato, elimine /OA_HTML/AppsTCFServer de la lista blanca de su firewall de URL.
• Restrinja el acceso a la capa web de EBS solo a redes de confianza, bloqueando el acceso externo.
• Monitoree su host de aplicación EBS y la base de datos en busca de actividad inusual, como archivos inesperados en $APPLPTMP.
• Vigile las solicitudes POST no autenticadas al servlet TCF y las consultas posteriores de reconocimiento SQL.
• Verifique que la cuenta oracle no esté generando /bin/sh a través del Concurrent Manager, lo cual indica un compromiso.