Oracle ha corregido la vulnerabilidad crítica CVE-2026-101767 (CVSS 9.8) en el componente Oracle Application Object Library del producto Oracle E-Business Suite como parte del Critical Patch Update de octubre de 2026. La vulnerabilidad es una SQL injection no autenticada que, según los investigadores de Horizon3.ai, puede encadenarse para lograr remote code execution. Se ven afectadas las versiones de EBS desde la 12.2.3 hasta la 12.2.15 inclusive. Las organizaciones que utilizan Oracle E-Business Suite con la capa web accesible desde la red deben aplicar el parche o limitar inmediatamente el acceso al servlet vulnerable.
Detalles técnicos de la vulnerabilidad
Según la matriz de riesgos de Oracle, CVE-2026-101767 presenta un perfil de criticidad máximo: el vector de ataque es de red (HTTP/HTTPS), la complejidad de explotación es baja, y no se requiere autenticación ni interacción del usuario. El impacto sobre la confidencialidad, la integridad y la disponibilidad se evalúa como alto.
Según los datos de la investigación de Horizon3.ai, la vulnerabilidad se encuentra en el servlet Thin Client Framework (TCF), disponible en la ruta /OA_HTML/AppsTCFServer e implementado por la clase oracle.apps.fnd.tcf.SocketServer. Un atacante con acceso de red a este endpoint puede ejecutar consultas SQL con los privilegios del usuario de base de datos APPS y, posteriormente, comandos del sistema operativo con los permisos de la cuenta de la aplicación EBS.
Una explotación exitosa permite leer y modificar datos accesibles para el usuario APPS. Dependiendo del despliegue concreto, según la evaluación de Horizon3.ai, podrían verse comprometidos registros financieros, datos de nóminas, información de recursos humanos y de compras. El nivel de acceso al sistema operativo viene determinado por los permisos de la cuenta de aplicación EBS comprometida.
La vulnerabilidad fue descubierta por los investigadores Brandon Peterson, Jimmy Sebri y Noah King de Horizon3.ai y, según sus datos, fue comunicada a Oracle el 24 de julio de 2026. El parche se publicó el 20 de octubre de 2026.
Alcance de la amenaza y contexto
Los despliegues de EBS con la capa web accesible desde Internet están expuestos al mayor riesgo. Sin embargo, como señala Horizon3.ai, los sistemas EBS internos también son vulnerables si el atacante puede alcanzar el servlet TCF desde un host ya comprometido o desde un segmento de red accesible. Esto amplía la superficie de ataque más allá del perímetro: basta con un único punto de entrada a la red interna.
En el momento de la publicación, CVE-2026-101767 no figura en el catálogo CISA Known Exploited Vulnerabilities (KEV). Al mismo tiempo, otras dos vulnerabilidades críticas de Oracle EBS — CVE-2025-61882 y CVE-2026-46817 (ambas con CVSS 9.8) — ya están incluidas en el catálogo KEV, lo que confirma su explotación activa. Según el aviso de Oracle, CVE-2025-61882 también es una vulnerabilidad no autenticada de remote code execution que afecta a las versiones 12.2.3–12.2.14. CVE-2026-46817 afecta al componente Oracle Payments (File Transmission) en las versiones 12.2.3–12.2.15, según el boletín de actualización de mayo de Oracle.
Los productos de Oracle han sido en repetidas ocasiones objetivo de ataques: ya hemos escrito sobre la explotación confirmada por CISA de una vulnerabilidad en Oracle WebLogic. La aparición de una tercera vulnerabilidad crítica en EBS en un año subraya el carácter sistémico de los riesgos para esta línea de productos.
Indicadores de compromiso
Horizon3.ai ha publicado los siguientes indicadores a tener en cuenta durante la monitorización:
- Solicitudes POST no autenticadas a
/OA_HTML/AppsTCFServerque instancian la claseoracle.apps.jtf.gantt.server.GanttDataServer, seguidas de actividad en la base de datos - Reconocimiento SQL poco después de solicitudes web no autenticadas (consultas de versión de la base de datos, usuario actual, objetos de directorios)
- Archivos inesperados en el directorio
$APPLPTMPy generación del proceso/bin/shpor parte de la cuenta oracle a través de Concurrent Manager para ejecutar comandos del sistema operativo
Recomendaciones de protección
La acción prioritaria es aplicar el parche del Critical Patch Update de Oracle de octubre de 2026. Si no es posible instalar el parche de inmediato, Horizon3.ai recomienda las siguientes medidas temporales:
- Eliminar
/OA_HTML/AppsTCFServer(asociado aoracle.apps.fnd.tcf.SocketServer) de la lista de URL permitidas en el firewall de EBS - Restringir el acceso a la capa web de EBS solo a redes de confianza
- Organizar la monitorización del host de la aplicación EBS y de la base de datos en busca de signos de compromiso, utilizando los indicadores descritos anteriormente
Horizon3.ai subraya que estas medidas reducen el riesgo, pero no sustituyen la instalación del parche.
Teniendo en cuenta que las dos vulnerabilidades críticas anteriores de EBS ya se han confirmado como explotadas activamente y se han incluido en el catálogo CISA KEV, la ventana para posponer con seguridad el parche de CVE-2026-101767 es extremadamente reducida. Las organizaciones con despliegues de Oracle EBS en las versiones 12.2.3–12.2.15 deben considerar la instalación de la actualización de octubre como una tarea de máxima prioridad y, hasta su aplicación, bloquear inmediatamente el acceso al servlet /OA_HTML/AppsTCFServer desde todos los segmentos de red no confiables.
