Atacantes sondam falha crítica no Oracle E-Business Suite dias depois da correção

Os administradores do Oracle E-Business Suite (EBS) têm pouco tempo para agir. Uma vulnerabilidade crítica corrigida no mais recente Critical Patch Update da Oracle já está a atrair tentativas de exploração: sistemas EBS de engodo registaram sondagens não autenticadas a 27 de outubro, menos de uma semana depois de a correção ter sido publicada.

O que aconteceu

A vulnerabilidade está identificada como CVE-2026-101767 e tem uma pontuação CVSS de 9,8. Encontra-se no componente Oracle Application Object Library do EBS, mais concretamente no servlet Thin Client Framework (TCF) exposto no caminho /OA_HTML/AppsTCFServer. Um atacante remoto que consiga chegar a esse servlet, sem qualquer credencial, pode injetar SQL executado com os privilégios do utilizador de base de dados APPS. A partir daí, a cadeia continua até à execução de comandos do sistema operativo com a conta da aplicação EBS.

A vulnerabilidade foi comunicada de forma privada à Oracle no final de julho de 2026 e encerrada no Critical Patch Update de outubro. Em poucos dias, a telemetria de honeypots mostrou tentativas exploratórias de exploração. Para já, a atividade parece mais reconhecimento e testes do que uma campanha confirmada de comprometimento em massa, mas o padrão é conhecido: no último ano, o EBS foi atingido por outras duas falhas críticas exploradas ativamente, CVE-2025-61882 e CVE-2026-46817, tendo a primeira sido usada pelo grupo de extorsão Cl0p.

Porque é importante

Em muitas grandes organizações, o EBS é o sistema de referência para dados financeiros, de salários, recursos humanos, compras e cadeia de abastecimento. O esquema APPS contém praticamente tudo. Um atacante que obtenha execução de SQL como APPS pode ler ou alterar esses dados, e a execução de comandos com a conta da aplicação abre a porta à persistência, ao movimento lateral e à extorsão.

Os níveis web do EBS expostos à internet são os primeiros alvos óbvios. As instalações apenas internas também não estão seguras por defeito: quem já tiver comprometido um posto de trabalho ou outro segmento de rede com acesso ao nível web pode usar o mesmo servlet.

O que fazer

1. Aplique a correção já. Instale o Critical Patch Update de outubro de 2026 em todos os ambientes EBS, incluindo as instâncias de teste e de recuperação de desastres que espelham a produção.
2. Se não puder corrigir de imediato, bloqueie o servlet. Remova /OA_HTML/AppsTCFServer (a entrada oracle.apps.fnd.tcf.SocketServer) da lista de URL permitidos da firewall do EBS.
3. Reduza a exposição. Restrinja o acesso ao nível web do EBS a redes de confiança e gamas VPN. Não deve estar acessível a partir da internet pública.
4. Procure sinais de comprometimento. Verifique:
   • pedidos POST não autenticados para /OA_HTML/AppsTCFServer que instanciem a classe oracle.apps.jtf.gantt.server.GanttDataServer, seguidos de atividade na base de dados;
   • reconhecimento SQL pouco depois de pedidos web não autenticados (versão da base de dados, utilizador atual, objetos directory);
   • ficheiros inesperados em $APPLPTMP;
   • a conta oracle a lançar /bin/sh através do Concurrent Manager.
5. Verifique a partir do exterior. Confirme que o servlet deixou de estar acessível e que o nível de correção é mesmo o que pensa.

As plataformas empresariais como o EBS são atualizadas em ciclos lentos, e o intervalo entre um Critical Patch Update e as primeiras tentativas de exploração mede-se agora em dias. O nosso serviço de análise de vulnerabilidades verifica continuamente os hosts expostos à procura de correções em falta e de endpoints de risco elevado acessíveis, como este, para que uma falha como a CVE-2026-101767 seja detetada antes de um atacante a encontrar.