Oracle EBS: probing per CVE-2026-101767 rilevato sette giorni dopo patch ottobre

Attori di minaccia non identificati hanno iniziato a sondare sistemi Oracle E-Business Suite per CVE-2026-101767 il 27 ottobre 2026, sette giorni dopo il rilascio della patch Oracle del 20 ottobre. Il rilevamento proviene da decoy Oracle EBS di Defused Cyber, riportato da The Hacker News, SecurityWeek e BleepingComputer. Non esistono conferme indipendenti aggiuntive del probing né evidenza di compromissioni reali.

La vulnerabilità interessa il Thin Client Framework (TCF) servlet all'endpoint /OA_HTML/AppsTCFServer, implementato da oracle.apps.fnd.tcf.SocketServer. Secondo l'advisory di Horizon3.ai, che ha scoperto e riportato il difetto il 24 luglio 2026, la catena di attacco consente di eseguire istruzioni SQL come utente database APPS per poi ottenere l'esecuzione di comandi di sistema come account applicazione EBS. Il National Vulnerability Database assegna a CVE-2026-101767 un punteggio CVSS 3.1 di 9.8 con vettore AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, classificazione che riflette impatto completo su confidenzialità, integrità e disponibilità senza richiedere autenticazione.

La catena tecnica: da SQL injection a command execution

Il meccanismo di attacco documentato da Horizon3.ai non richiede credenziali valide né condizioni di rete particolari. L'attaccante interagisce con il servlet TCF esposto, iniettando istruzioni SQL eseguite nel contesto dell'utente APPS del database. Questo accesso permette di raggiungere il Concurrent Manager di Oracle EBS e avviare comandi di sistema con i privilegi dell'account applicativo.

Le versioni affette comprendono Oracle Application Object Library dalla 12.2.3 alla 12.2.15, secondo il record NVD e l'advisory dello scopritore. L'assenza di requisiti di autenticazione e la complessità del patching su ambienti EBS — spesso criticità business che richiedono finestre di manutenzione negoziate — amplificano la superficie di attacco effettiva rispetto al mero conteggio delle istanze esposte.

Il probing del 27 ottobre: fatti e limiti della fonte

L'intervallo tra il 20 ottobre (patch) e il 27 ottobre (primo probing rilevato) emerge dalle date riportate dalle fonti. Le fonti non documentano se il probing si basi su reverse engineering della patch, su exploit pubblico o su altro metodo. Non è confermata la disponibilità di codice di exploit.

"Our Oracle E-Business Suite decoys recorded exploratory exploits against CVE-2026-101767, an unauthenticated SQL injection in EBS's Thin Client Framework servlet that chains to remote code execution, this morning, October 27" — Defused Cyber, riportato da The Hacker News

L'etichetta "exploratory exploits" utilizzata da Defused Cyber indica attività di ricognizione, non compromissioni confermate. Oracle non ha classificato CVE-2026-101767 come vulnerabilità exploited in the wild nel proprio advisory. Il probing documentato non equivale a proof of exploit funzionante né a breach verificati.

L'ecosistema di esposizione: oltre 670 istanze e il contesto storico

Shadowserver traccia oltre 670 sistemi Oracle EBS esposti su Internet, con concentrazione geografica negli Stati Uniti. Il numero non distingue tra istanze patchate e non patchate; la popolazione effettivamente vulnerabile resta non quantificata. L'esposizione su Internet di un sistema che gestisce record finanziari, payroll, risorse umane e procurement — come documentato dall'advisory Horizon3.ai — costituisce una superficie di attacco che trascende la dimensione puramente tecnica.

Il contesto storico di attacchi a Oracle EBS fornisce una lettura di rischio. CVE-2025-61882, anch'essa con CVSS 9.8, è stata sfruttata dal gruppo Cl0p. CVE-2026-46817 ha registrato attività a giugno 2026. Il dato aggregato di 46 vulnerabilità Oracle inserite nel catalogo KEV di CISA dal novembre 2021, con 13 impiegate in attacchi ransomware, colloca EBS in una categoria di piattaforme che gli attori di minaccia hanno dimostrato di saper monetizzare.

Cosa fare adesso

• Applicare la patch del Critical Patch Update di ottobre 2026 su tutte le istanze Oracle EBS nelle versioni 12.2.3-12.2.15, dato che il probing è documentato da una fonte specializzata.
• Rimuovere dalla rete pubblica l'accesso al servlet TCF all'endpoint /OA_HTML/AppsTCFServer dove applicabile, come workaround citato nelle fonti primarie.
• Limitare la connettività di rete al TCF servlet tramite regole firewall, secondo le indicazioni di Horizon3.ai.
• Monitorare il traffico verso il TCF servlet per connessioni sospette, nel rispetto delle raccomandazioni operative presenti nelle fonti.

Chiusura editoriale

Il caso CVE-2026-101767 misura un intervallo di sette giorni tra patch e probing rilevato, ma non dimostra un pattern sistematico di reverse engineering né conferma l'esistenza di exploit funzionante. La fonte del probing è unica e specializzata; l'assenza di conferme indipendenti e di compromissioni verificate impone cautela nell'interpretare la portata della minaccia. Per le organizzazioni che gestiscono Oracle EBS, la priorità resta l'applicazione tempestiva della patch di ottobre 2026 e la riduzione dell'esposizione del TCF servlet, due azioni documentate nelle fonti tecniche e immediatamente attuabili.

Fonti

• thehackernews.com
• bleepingcomputer.com
• nvd.nist.gov
• horizon3.ai
• securityweek.com
• securityweek.com