✨︎ Resumen (TL;DR):
- Defused Cyber detectó el 27 de octubre intentos exploratorios contra CVE-2026-101767.
- Oracle publicó el parche el 20 de octubre para una falla con gravedad de 9.8 sobre 10.
- Los reportes consultados no confirman una intrusión en una organización.
Defused Cyber detectó el 27 de octubre intentos exploratorios contra la vulnerabilidad crítica CVE-2026-101767 de Oracle E-Business Suite, siete días después de que Oracle publicara el parche. El fallo, con gravedad de 9.8 sobre 10, puede permitir que alguien sin credenciales comprometa una instalación afectada si tiene acceso de red al componente expuesto. Los reportes consultados todavía no confirman una intrusión en una organización.
Los intentos aparecieron en los sistemas señuelo de Defused Cyber. La detección muestra que ya hay sondeos contra la falla, pero no demuestra que un sistema de un cliente haya sido vulnerado.
Qué puede ocurrir en una instalación vulnerable
Oracle asigna a CVE-2026-101767 una gravedad de 9.8 sobre 10. La falla afecta al componente Oracle Application Object Library en las versiones 12.2.3 a 12.2.15 de E-Business Suite. La actualización de seguridad de octubre, publicada el 20 de octubre, incluye su corrección.
Horizon3.ai, la firma que descubrió el fallo, lo describe como una inyección SQL sin autenticación en el Thin Client Framework. Una explotación exitosa podría ejecutar consultas con los privilegios del usuario APPS de la base de datos y después comandos con los permisos de la cuenta de aplicación en el servidor.
Los datos potencialmente expuestos dependen de cada instalación. Podrían incluir registros financieros, de nómina, de recursos humanos y de compras.
Más de 670 instancias visibles no equivalen a víctimas
BleepingComputer indicó que Shadowserver seguía más de 670 instancias de E-Business Suite accesibles desde internet. Ese recuento no establece cuántas eran señuelos ni cuántas ya habían recibido la actualización. Por tanto, no es una cifra de víctimas ni de instalaciones vulnerables confirmadas.
El reporte original de Defused se refiere a intentos observados en señuelos. Que una instancia sea visible desde internet no prueba que esté sin parche, y que reciba un sondeo tampoco demuestra una explotación exitosa.
El parche ya está disponible
Oracle recomienda aplicar las actualizaciones correspondientes sin demora. En su boletín general, la empresa advierte que ha recibido reportes de ataques contra fallas para las que ya existían parches, en ocasiones con éxito cuando los clientes no los habían aplicado.
Esa advertencia no documenta un compromiso causado por CVE-2026-101767. Los reportes consultados sobre esta falla tampoco identifican una intrusión confirmada en una organización.
Para las organizaciones que usan versiones afectadas, Horizon3.ai aconseja restringir el acceso al nivel web de E-Business Suite a redes confiables y revisar señales de compromiso mientras instalan los parches.
Las tareas concretas son:
- Confirmar el estado del parche y si la instalación usa una versión afectada.
- Restringir el acceso al nivel web de E-Business Suite a redes confiables mientras las organizaciones instalan la actualización.
- Revisar los registros en busca de actividad sospechosa o señales de compromiso.
Estas medidas reducen la exposición, pero no sustituyen la corrección.
Los sondeos observados el 27 de octubre justifican que las organizaciones con versiones afectadas revisen sus instalaciones, pero todavía no permiten saber cuántas organizaciones recibieron un ataque exitoso. La evidencia disponible muestra actividad exploratoria en sistemas señuelo, no organizaciones comprometidas de forma confirmada.
