La firma de inteligencia de amenazas Defused registró intentos de explotación contra una vulnerabilidad de Oracle E-Business Suite (EBS) recién parcheada el 27 de octubre, según SecurityWeek. La actividad apuntaba a CVE-2026-101767, un fallo crítico que atacantes remotos podrían explotar a través de HTTP sin autenticación.
Las observaciones procedían de los señuelos (decoys) de EBS de Defused. La empresa describió la actividad como «exploits exploratorios», lo que demuestra intentos contra esos sistemas, y no compromisos confirmados de despliegues de clientes. SecurityWeek no reportó ningún otro caso de explotación activa.
Según el informe de SecurityWeek, CVE-2026-101767 es una vulnerabilidad de inyección SQL en la Application Object Library de EBS. Una explotación con éxito podría permitir la ejecución remota de código y la toma de control completa de ese componente. Su puntuación CVSS de 9,8 describe la gravedad de la vulnerabilidad; no establece que un ataque haya tenido éxito.
Oracle corrigió el fallo en su Critical Patch Update de octubre de 2026, publicada inicialmente el 20 de octubre, una semana antes de las observaciones de Defused. Oracle acredita el hallazgo de CVE-2026-101767 a los investigadores Horizon3.ai Brandon Peterson, Jimi Sebree y Noah King.
El aviso enumera las versiones 12.2.3–12.2.15 de Oracle E-Business Suite entre los productos afectados por vulnerabilidades corregidas en la actualización de octubre. Se trata del alcance a nivel de producto de la actualización, y no de una lista de versiones afectadas específica para cada CVE.
Para la disponibilidad de parches y las instrucciones de instalación, Oracle remite a los clientes al E-Business Suite Patch Availability Document enlazado desde el aviso. El fabricante recomienda encarecidamente mantenerse en versiones con soporte activo y aplicar los parches de seguridad sin demora, citando informes de ataques que tuvieron éxito contra clientes que no habían instalado las correcciones disponibles.
