Il 27 ottobre la società di threat intelligence Defused ha registrato tentativi di sfruttamento contro una vulnerabilità di Oracle E-Business Suite (EBS) appena corretta, secondo quanto riportato da SecurityWeek. L'attività ha preso di mira CVE-2026-101767, una falla critica che attaccanti remoti potevano sfruttare via HTTP senza autenticazione.
Le osservazioni provengono dai decoy EBS di Defused. L'azienda ha descritto l'attività come «exploit esplorativi», fornendo prove di tentativi contro quei sistemi, e non come compromissioni confermate delle installazioni dei clienti. SecurityWeek non riporta altre segnalazioni di sfruttamento in natura.
Secondo il report di SecurityWeek, CVE-2026-101767 è una vulnerabilità di SQL injection nell'Application Object Library di EBS. Lo sfruttamento riuscito potrebbe consentire l'esecuzione remota di codice e la completa presa di controllo di quel componente. Il punteggio CVSS di 9,8 descrive la gravità della vulnerabilità; non stabilisce che un attacco sia riuscito.
Oracle ha corretto la falla nel Critical Patch Update di ottobre 2026, pubblicato inizialmente il 20 ottobre, una settimana prima delle osservazioni di Defused. Oracle attribuisce la scoperta di CVE-2026-101767 a Horizon3.ai, ricercatori Brandon Peterson, Jimi Sebree e Noah King.
Il bollettino elenca le versioni 12.2.3–12.2.15 di Oracle E-Business Suite tra i prodotti interessati dalle vulnerabilità corrette nell'aggiornamento di ottobre. Si tratta dell'ambito a livello di prodotto dell'aggiornamento, non di un elenco di versioni interessate specifico per ciascun CVE.
Per la disponibilità delle patch e le istruzioni di installazione, Oracle indirizza i clienti all'E-Business Suite Patch Availability Document collegato nel bollettino. Il fornitore raccomanda con forza di restare su versioni attivamente supportate e di applicare le patch di sicurezza senza indugio, citando segnalazioni di attacchi riusciti contro clienti che non avevano installato le correzioni disponibili.
