Invasores varrem internet atrás de Oracle EBS sem correção de outubro

O que aconteceu

Invasores começaram a sondar uma falha crítica do Oracle E-Business Suite dias após a correção no Critical Patch Update de outubro de 2026. A Defused registrou tentativas contra sistemas-isca em 27 de outubro. A BleepingComputer reporta varredura da internet em busca de sistemas não atualizados.

Por que importa

A falha permite injeção de SQL sem autenticação, encadeável até execução remota de código e tomada do componente, sem necessidade de credenciais. Sistemas comprometidos podem expor dados financeiros, de folha de pagamento, recursos humanos e compras. A Shadowserver rastreia mais de 670 instâncias de EBS expostas à internet.

O que fazer

Aplique imediatamente o Critical Patch Update de outubro de 2026 da Oracle. Se o patch atrasar, restrinja a camada web do EBS a redes confiáveis e remova /OA_HTML/AppsTCFServer da lista de permissões do firewall de URL.

Para o time técnico

CVE

CVE-2026-101767

Afetados

Oracle E-Business Suite (EBS) · Oracle E-Business Suite versões 12.2.3 a 12.2.15 (Oracle Application Object Library).

Exploração

Tentativas exploratórias contra sistemas-isca registradas em 27 de outubro pela Defused, uma semana após a liberação do patch. BleepingComputer reporta varredura da internet por sistemas sem atualização. Shadowserver rastreia mais de 670 instâncias de EBS expostas à internet, sem saber quantas permanecem vulneráveis. A Oracle não classifica a falha como ativamente explorada; não há comprometimentos confirmados publicamente. Sem outros relatos de exploração em campo, segundo a SecurityWeek.

Correção

Critical Patch Update de outubro de 2026 da Oracle. Mitigação se o patch atrasar: restringir a camada web do EBS a redes confiáveis e remover /OA_HTML/AppsTCFServer da lista de permissões do firewall de URL.

Vetor

Injeção de SQL sem autenticação por HTTP no servlet do Thin Client Framework, na Application Object Library do EBS, explorável remotamente por atacantes não autenticados. O atacante executa SQL com privilégios do usuário APPS do banco e pode encadear até executar comandos do sistema operacional como a conta de aplicação do EBS.

Mais detalhes

Falha descoberta e reportada pela Horizon3.ai. Em junho, a Defused alertou sobre ataques explorando a CVE-2026-46817 no componente File Transmissions do produto Payments do EBS. No ano passado, o grupo Cl0p explorou zero-days no software de gestão empresarial da Oracle, em campanha que pode ter afetado mais de 100 organizações, segundo a SecurityWeek.

Linha do tempo

1. 28/10/2026 13:23

   Detalhes técnicos da falha circulam junto à onda de varredura: injeção de SQL não autenticada (CVSS 9.8) no servlet do Thin Client Framework, que executa SQL com privilégios do usuário APPS do banco e pode ser encadeada até execução remota de código; afeta as versões 12.2.3 a 12.2.15.

2. 28/10/2026 11:03

   Firma Defused Cyber liga as varreduras à CVE-2026-101767 (CVSS 9,8), na Oracle Application Object Library, corrigida no Critical Patch Update de outubro.

3. 28/10/2026 10:09

   Tentativas de exploração foram detectadas em sistemas-isca em 27 de outubro; a falha é injeção SQL não autenticada (CVSS 9,8) que pode levar a execução remota de código.

Quer as próximas atualizações no seu e-mail? Inscreva-se na edição diária →

Ver todas as 5 atualizações

1. 28/10/2026 09:21

   BleepingComputer relata que invasores seguem varrendo a internet em busca de sistemas ainda não atualizados com a falha recentemente corrigida da Oracle.

2. 28/10/2026 06:20

   SecurityWeek relata sondagem ativa da falha CVE-2026-101767 no Oracle EBS.

Fontes 5 fontes

• Hackers Start Probing Fresh Oracle EBS Vulnerability SecurityWeek
• @BleepinComputer @BleepinComputer
• @TheHackersNews @TheHackersNews
• Hackers Target Critical Oracle E-Business Suite RCE Flaw Days After Security Patch The Hacker News
• @DarkWebInformer @DarkWebInformer

Ver todas as notícias