Según la empresa de ciberseguridad Defused, los atacantes están buscando en internet sistemas vulnerables a un fallo revelado recientemente en Oracle E-Business Suite (EBS). La vulnerabilidad, identificada como CVE-2026-101767, afecta a un componente central de Application Object Library de EBS.
Oracle afirma que atacantes no autenticados con acceso de red HTTP pueden tomar el control de sistemas vulnerables mediante ataques de baja complejidad. La empresa publicó actualizaciones de seguridad en su Critical Security Patch Update de octubre de 2026, el 20 de octubre, y pidió a sus clientes que las instalaran cuanto antes.
El 27 de octubre, Defused dijo que sus señuelos de Oracle EBS habían registrado ataques exploratorios contra la vulnerabilidad. Describió el problema como una inyección SQL sin autenticación en el servlet Thin Client Framework de EBS, que puede permitir la ejecución remota de código. Oracle todavía no ha clasificado CVE-2026-101767 como explotada en ataques reales.
Shadowserver rastrea más de 670 instancias de Oracle EBS expuestas a internet, la mayoría con direcciones IP de Estados Unidos. No ha indicado cuántas son honeypots ni cuántas se han protegido frente al fallo.
Otras vulnerabilidades de Oracle ya han sido objeto de ataques. Desde principios de agosto de 2025, el grupo de extorsión Clop ha explotado una vulnerabilidad distinta de EBS, CVE-2025-61882, en ataques de día cero. En junio de 2026, Oracle también publicó medidas de mitigación de emergencia para una vulnerabilidad de día cero de PeopleSoft Suite, CVE-2026-35273, que ShinyHunters habría explotado entre el 27 de mayo y el 9 de junio.
Comentarios
0Aún no hay comentarios. Escribe el primero.