Atacantes sondean una vulnerabilidad crítica de Oracle E-Business Suite días después del parche

Los administradores de Oracle E-Business Suite (EBS) tienen poco margen para actuar. Una vulnerabilidad crítica corregida en el último Critical Patch Update de Oracle ya está atrayendo intentos de explotación: sistemas EBS señuelo registraron sondeos no autenticados el 27 de octubre, apenas una semana después de la publicación del parche.

Qué ocurrió

La vulnerabilidad se identifica como CVE-2026-101767 y tiene una puntuación CVSS de 9,8. Se encuentra en el componente Oracle Application Object Library de EBS, concretamente en el servlet Thin Client Framework (TCF) expuesto en la ruta /OA_HTML/AppsTCFServer. Un atacante remoto que pueda alcanzar ese servlet, sin ninguna credencial, puede inyectar SQL que se ejecuta con los privilegios del usuario de base de datos APPS. A partir de ahí, la cadena continúa hasta la ejecución de comandos del sistema operativo con la cuenta de la aplicación EBS.

La vulnerabilidad fue reportada de forma privada a Oracle a finales de julio de 2026 y se cerró en el Critical Patch Update de octubre. En cuestión de días, la telemetría de honeypots mostró intentos exploratorios de explotación. Por ahora, la actividad parece más reconocimiento y pruebas que una campaña confirmada de compromiso masivo, pero el patrón es conocido: en el último año EBS ha sufrido otras dos vulnerabilidades críticas explotadas activamente, CVE-2025-61882 y CVE-2026-46817, la primera de ellas utilizada por el grupo de extorsión Cl0p.

Por qué importa

En muchas grandes organizaciones, EBS es el sistema de referencia para los datos financieros, de nómina, recursos humanos, compras y cadena de suministro. El esquema APPS contiene prácticamente todo. Un atacante que logre ejecutar SQL como APPS puede leer o alterar esos datos, y la ejecución de comandos con la cuenta de la aplicación abre la puerta a la persistencia, el movimiento lateral y la extorsión.

Los niveles web de EBS expuestos a internet son los primeros objetivos evidentes. Las instalaciones solo internas tampoco están a salvo por defecto: quien ya haya comprometido una estación de trabajo u otro segmento de red con acceso al nivel web puede usar el mismo servlet.

Qué hacer

Aplique el parche ahora. Instale el Critical Patch Update de octubre de 2026 en todos los entornos EBS, incluidas las instancias de prueba y de recuperación ante desastres que replican producción.
Si no puede parchear de inmediato, bloquee el servlet. Elimine /OA_HTML/AppsTCFServer (la entrada oracle.apps.fnd.tcf.SocketServer) de la lista de URL permitidas del firewall de EBS.
Reduzca la exposición. Restrinja el acceso al nivel web de EBS a redes de confianza y rangos VPN. No debería ser accesible desde internet.
Busque indicios de compromiso. Revise:
- peticiones POST no autenticadas a /OA_HTML/AppsTCFServer que instancien la clase oracle.apps.jtf.gantt.server.GanttDataServer, seguidas de actividad en la base de datos;
- reconocimiento SQL poco después de peticiones web no autenticadas (versión de la base de datos, usuario actual, objetos directory);
- archivos inesperados en $APPLPTMP;
- la cuenta oracle lanzando /bin/sh a través del Concurrent Manager.
Verifique desde fuera. Confirme que el servlet ya no es alcanzable y que el nivel de parche es realmente el que cree.

Las plataformas empresariales como EBS se actualizan en ciclos lentos, y el intervalo entre un Critical Patch Update y los primeros intentos de explotación se mide ahora en días. Nuestro servicio de escaneo de vulnerabilidades comprueba de forma continua los hosts expuestos en busca de parches ausentes y endpoints de alto riesgo accesibles, como este, de modo que una vulnerabilidad como CVE-2026-101767 se detecta antes de que la encuentre un atacante.