El fallo de Oracle E-Business Suite identificado como CVE-2026-101767 ya registra intentos de explotación. Los sistemas señuelo de Defused Cyber captaron las primeras sondas la mañana del 27 de octubre, siete días después de que Oracle publicara el parche. La ventana entre la corrección y la búsqueda activa duró una semana.
Ese fallo de Oracle E-Business Suite permite ejecutar consultas SQL sin iniciar sesión y lleva una nota de 9.8 sobre 10 en la escala CVSS. Oracle E-Business Suite, conocido como EBS, es el paquete con el que miles de empresas llevan finanzas, nómina, recursos humanos y compras. Un atacante con acceso de red al servidor web puede leer o modificar esos datos y, encadenando pasos, ejecutar comandos del sistema operativo.
Una petición basta para entrar como usuario APPS
El problema vive en un servlet, una pieza de Java que responde peticiones en una ruta concreta, llamado AppsTCFServer. Su dirección dentro del servidor es /OA_HTML/AppsTCFServer y forma parte del componente Thin Client Framework de la biblioteca Oracle Application Object Library. La validación de identidad brilla por su ausencia: la ruta ejecuta funciones potentes sin pedir una sesión válida.
Horizon3.ai describió la cadena con detalle técnico. Una petición POST preparada a esa ruta ejecuta SQL con los privilegios del usuario APPS de la base de datos, la cuenta con acceso amplio a los datos del paquete completo. Desde ese punto, el atacante pasa a ejecutar comandos con la cuenta de la aplicación EBS en el servidor anfitrión. Control total del programa y de su información.
Los investigadores Brandon Peterson, Jimi Sebree y Noah King, de Horizon3.ai, descubrieron el fallo y lo reportaron a Oracle el 24 de julio de 2026. Oracle lo corrigió el 20 de octubre dentro de su Critical Patch Update, la entrega trimestral de parches de seguridad. Las versiones afectadas cubren EBS 12.2.3 a 12.2.15, es decir, toda la línea 12.2 con soporte.
La misma entrega de octubre incluyó otro fallo peor sobre el papel. CVE-2026-101809, en el componente Workflow Notification Mailer, recibió la nota máxima de 10.0 y también se explota por HTTP sin credenciales. La actualización trimestral trajo 194 parches nuevos solo para EBS, y la matriz de riesgo de Oracle marca 31 de ellos como explotables de forma remota sin autenticación.
El parche salió el 20 de octubre y la búsqueda empezó el 27
Defused Cyber publicó en X el mensaje que encendió las alarmas: sus señuelos de Oracle E-Business Suite registraron intentos exploratorios contra CVE-2026-101767 la mañana del 27 de octubre. Siete días separan el parche de las primeras sondas reales. Ese ritmo ya se vio en las vulnerabilidades de Oracle y sus parches de seguridad: la empresa detecta cerca de 3.000 fallos por trimestre en sus productos y los atacantes leen cada entrega trimestral como un catálogo de puertas por probar.
Horizon3.ai compartió los indicadores para detectar una intrusión en curso. El primero es una petición POST sin autenticación a /OA_HTML/AppsTCFServer que carga la clase GanttDataServer, seguida de actividad en la base de datos. Después aparecen consultas de reconocimiento SQL, con la versión de la base y el usuario activo, y archivos inesperados en la carpeta $APPLPTMP. La señal más grave: la cuenta oracle lanzando /bin/sh desde el Concurrent Manager para correr comandos del sistema.
El historial del producto explica la prisa. Dos fallos críticos de EBS, CVE-2025-61882 y CVE-2026-46817, ambos con nota 9.8, ya sufrieron explotación activa en el último año. El primero lo aprovechó Cl0p, la banda de ransomware y extorsión que robó datos de empresas y gobiernos exigiendo pago por no publicarlos. Un servidor EBS expuesto a internet concentra justo lo que esa banda busca: finanzas, nómina y datos de empleados en un solo lugar.
Versiones afectadas y qué hacer antes del parche
Oracle pide aplicar la actualización de octubre completa, no solo el parche de este fallo, en cada instalación 12.2.3 a 12.2.15. También entran los entornos de prueba con acceso de red, porque un servidor secundario olvidado sirve igual de entrada. La capa web de EBS debería quedar accesible solo desde redes de confianza, nunca abierta a internet sin control.
Mientras el parche llega, Horizon3.ai y Oracle apuntan a una medida temporal concreta: retirar /OA_HTML/AppsTCFServer de la lista permitida del cortafuegos de URL de EBS. Esa ruta queda asociada a la clase oracle.apps.fnd.tcf.SocketServer y bloquearla corta la vía de entrada conocida. La medida reduce el riesgo, pero puede afectar funciones que dependen de ese servlet y no sustituye la actualización.
Los sistemas internos tampoco quedan fuera del problema. Un atacante que ya controla un equipo dentro de la red puede alcanzar el servlet desde un segmento accesible y repetir la misma cadena. Por eso la revisión incluye el servidor de aplicaciones y la base de datos, buscando los indicadores publicados aunque la instalación no mire a internet.
Hasta el 28 de octubre, CVE-2026-101767 no figuraba en el catálogo de vulnerabilidades explotadas de la CISA, la agencia de ciberseguridad de Estados Unidos. Ese detalle puede cambiar en cualquier momento: con sondas confirmadas el 27 y dos precedentes del mismo producto ya explotados por bandas de extorsión, un EBS 12.2 sin la actualización de octubre queda hoy entre los servidores empresariales más buscados de la red.
Fuente: Oracle
