Invasores começam a testar uma falha crítica recém-corrigida no Oracle E-Business Suite (EBS), segundo a empresa de inteligência de ameaças Defused Cyber.
A vulnerabilidade em questão é a CVE-2026-101767 (identificador CVE, de Vulnerabilidades e Exposições Comuns), com pontuação CVSS de 9,8 (Sistema de Pontuação de Vulnerabilidades Comuns). Trata-se de um caso de autenticação inadequada no Oracle Application Object Library, componente do Oracle E-Business Suite. A falha foi corrigida pela Oracle na semana passada, como parte de sua Critical Patch Update.
Os pesquisadores de segurança Brandon Peterson, Jimi Sebree e Noah King, da Horizon3.ai, foram creditados pela descoberta da falha e por sua notificação à Oracle em 24 de julho de 2026.
“Nossos sistemas-isca (decoys) do Oracle E-Business Suite registraram tentativas exploratórias de exploração da CVE-2026-101767, uma injeção de SQL (linguagem de consulta estruturada) não autenticada no servlet Thin Client Framework (TCF) do EBS, que se encadeia para execução remota de código, nesta manhã, 27 de outubro”, afirmou a Defused Cyber em uma publicação na X.
Em um alerta sobre a vulnerabilidade, a Horizon3.ai a descreveu como uma injeção de SQL não autenticada que poderia ser encadeada para obter execução remota de código.
“A vulnerabilidade permite que um invasor com acesso à rede execute SQL no servlet TCF afetado como usuário do banco de dados APPS e, em seguida, execute comandos do sistema operacional como a conta de aplicação do EBS”, afirmou a empresa de segurança cibernética.
Especificamente, um invasor pode enviar uma requisição elaborada ao servlet TCF vulnerável em “/OA_HTML/AppsTCFServer” para executar SQL com os privilégios do usuário do banco de dados APPS e, em última instância, habilitar a execução de comandos do sistema com os privilégios da conta de aplicação do EBS.
A exploração bem-sucedida da CVE-2026-101767 pode permitir que um invasor leia ou modifique dados de aplicação acessíveis ao usuário APPS e execute comandos no servidor de aplicação.
“Dependendo da implantação, os dados afetados podem incluir registros financeiros, de folha de pagamento, de recursos humanos e de compras. O acesso ao sistema operacional é regido pelas permissões da conta de aplicação do EBS comprometida”, alertou a Horizon3.ai.
Embora as implantações do EBS expostas à internet representem o maior risco, sistemas internos do EBS também podem ser explorados caso um invasor consiga acessar o servlet vulnerável a partir de um sistema comprometido ou de outro segmento de rede acessível.
Recomenda-se que os usuários atualizem para a versão mais recente o quanto antes. Caso a aplicação imediata da correção não seja possível, as seguintes medidas paliativas podem ser adotadas:
- Remover /OA_HTML/AppsTCFServer, associado a oracle.apps.fnd.tcf.SocketServer, da lista de URLs permitidas (allowlist) do firewall do EBS.
- Restringir o acesso à camada web do EBS a redes confiáveis.
- Monitorar o host de aplicação e o banco de dados do EBS em busca de sinais de comprometimento.
A Horizon3.ai também compartilhou os seguintes indicadores de comprometimento (IoCs, do inglês indicators of compromise):
- Requisições POST não autenticadas para /OA_HTML/AppsTCFServer que instanciam a classe de servidor de dados do Gantt (oracle.apps.jtf.gantt.server.GanttDataServer), seguidas de atividade no banco de dados.
- Reconhecimento via SQL logo após requisições web não autenticadas (versão do banco de dados, usuário atual e objetos de diretório).
- Arquivos inesperados em $APPLPTMP e a conta oracle iniciando /bin/sh pelo Concurrent Manager para executar comandos do sistema operacional.
Vulnerabilidades no EBS são um alvo recorrente de invasores. No último ano, duas falhas críticas no mesmo produto (CVE-2025-61882 e CVE-2026-46817, ambas com pontuação CVSS de 9,8) passaram a ser exploradas ativamente. A primeira foi utilizada pelo Cl0p, grupo de ransomware (sequestro de dados criptografados) e extorsão.
