Cibercriminosos exploram falha crítica de RCE no Oracle E-Business Suite
Tentativas de explorar uma vulnerabilidade grave no Oracle E-Business Suite foram detectadas poucos dias depois da divulgação de uma atualização de segurança. O problema, identificado como CVE-2026-101767, recebeu nota 9,8 de 10 no CVSS 3.1 e pode permitir que invasores sem autenticação acessem informações e avancem para a execução de comandos no ambiente afetado.
A falha atinge o componente Oracle Application Object Library e as versões 12.2.3 a 12.2.15 do E-Business Suite. Sua origem é uma injeção de SQL no servlet do Thin Client Framework, que pode ser alcançado por HTTP ou HTTPS. Assim, o ataque não exige que a vítima clique em um arquivo, forneça credenciais ou realize qualquer outra ação.
O risco não se limita à consulta ou alteração de dados no banco. A vulnerabilidade pode ser explorada para executar instruções SQL com a conta APPS, que possui acesso amplo às informações utilizadas pela aplicação. A partir desse nível, um atacante pode tentar ampliar o acesso e executar comandos no sistema operacional com a conta do próprio aplicativo.
Em uma organização, esse cenário pode expor registros financeiros, dados de folha de pagamento e informações de compras. Dependendo das permissões configuradas e da arquitetura do ambiente, uma invasão também pode abrir caminho para novas etapas, como a alteração de dados, a interrupção de serviços ou o acesso a outros sistemas conectados.
A vulnerabilidade foi comunicada à Oracle pela Horizon3.ai em 24 de julho de 2026 e permaneceu sob sigilo até a divulgação da correção, incluída no pacote trimestral de atualizações de outubro. O registro da falha foi publicado em 20 de outubro. Em 27 de outubro, a empresa de inteligência de ameaças Defused identificou tentativas contra sistemas-isca configurados para simular instalações do E-Business Suite.
A atividade observada foi classificada como exploratória. Isso significa que houve tentativas de ataque, mas não confirma que algum cliente tenha sido invadido com sucesso. Até 28 de outubro, não havia outros relatos públicos de exploração, e a CVE-2026-101767 ainda não aparecia no catálogo de falhas exploradas da CISA na versão de 27 de outubro de 2026.
Mesmo sem confirmação de comprometimentos, a rapidez com que surgiram as tentativas reforça a urgência de corrigir os sistemas expostos. O histórico do produto também recomenda cautela: outras vulnerabilidades críticas no E-Business Suite, entre elas a CVE-2025-61882 e a CVE-2026-46817, também receberam nota 9,8 e foram utilizadas em campanhas no último ano. A primeira foi associada ao grupo de extorsão Cl0p.
Como reduzir o risco
A medida prioritária é instalar o pacote de correções de outubro de 2026 em todas as instalações afetadas, da versão 12.2.3 à 12.2.15. Antes de atualizar, equipes de tecnologia devem identificar quais ambientes estão em operação, verificar se algum deles pode ser acessado pela internet e planejar a aplicação da correção com os responsáveis pelo sistema.
Se a atualização não puder ser feita imediatamente, uma alternativa temporária é retirar o servlet vulnerável da lista de permissões do firewall de URL do E-Business Suite. O endereço é liberado por padrão, portanto a configuração precisa ser conferida e ajustada pela equipe responsável. Essa medida reduz a exposição, mas não substitui a instalação definitiva da correção.
Também é recomendável restringir o acesso ao sistema a redes e usuários que realmente necessitem dele. Servidores de ERP publicados diretamente na internet são alvos especialmente atraentes: uma falha acessível sem credenciais permite que atacantes iniciem tentativas remotamente e em larga escala.
Na investigação de possíveis ataques, as equipes podem procurar requisições POST sem autenticação direcionadas ao GanttDataServer, especialmente quando seguidas de consultas ao banco de dados. A análise deve considerar os registros do servidor web, da aplicação e do banco, além de eventuais comandos executados no sistema operacional. Um evento isolado não comprova invasão, mas pode justificar uma apuração mais ampla.
Caso haja sinais de comprometimento, é importante preservar os registros antes de realizar alterações no ambiente, identificar as contas e os sistemas acessados e avaliar se dados foram consultados ou modificados. A organização também deve revisar credenciais e permissões associadas à aplicação, sobretudo as que dão acesso a informações financeiras, de pessoal e de compras.
Por fim, a correção precisa fazer parte de um processo contínuo, não de uma ação pontual. Manter inventário atualizado de aplicações, acompanhar comunicados de segurança e estabelecer prazos para corrigir vulnerabilidades críticas ajuda a diminuir a janela de exposição. No caso do Oracle E-Business Suite, a combinação de acesso remoto sem autenticação, privilégios elevados e histórico recente de exploração torna a atualização especialmente urgente.