Hackers começaram a sondar a internet em busca de sistemas que ainda não receberam o patch para uma vulnerabilidade crítica do Oracle E-Business Suite (EBS), divulgada recentemente.
Identificada em um componente central da Application Object Library do EBS e registrada como
CVE-2026-101767
, a falha permite que threat actors não autenticados, com acesso à rede por HTTP, assumam o controle de sistemas vulneráveis por meio de ataques de baixa complexidade.
A Oracle lançou atualizações de segurança para corrigir o problema em sua atualização crítica de segurança de outubro de 2026, publicada em 20 de outubro, e recomendou que os clientes instalem os patches imediatamente.
“Em alguns casos, houve relatos de que os ataques tiveram sucesso porque os clientes visados não haviam aplicado os patches disponibilizados pela Oracle”, afirmou a empresa. “Por isso, a Oracle recomenda enfaticamente que os clientes utilizem versões com suporte ativo e instalem os patches de segurança sem demora.”
Embora ainda não tenha classificado a
CVE-2026-101767
como explorada em ataques reais, a empresa de inteligência de ameaças Defused informou na terça-feira que já havia identificado threat actors varrendo a internet em busca de sistemas vulneráveis.
“Na manhã de 27 de outubro, nossas iscas para Oracle E-Business Suite registraram tentativas de exploração da
CVE-2026-101767
, uma SQL injection que não exige autenticação e afeta o servlet do Thin Client Framework do EBS, podendo levar à execução remota de código”, alertou a Defused.
O Shadowserver, observatório de ameaças na internet, monitora atualmente mais de 670 instâncias do Oracle EBS acessíveis pela internet. A maioria tem endereços IP nos Estados Unidos. No entanto, o Shadowserver não informa quantas são honeypots nem quantas já foram protegidas contra a
CVE-2026-101767
.
Hackers costumam explorar vulnerabilidades da Oracle porque elas podem abrir caminho para invadir sistemas corporativos de grandes empresas da Fortune 100, órgãos governamentais e instituições de saúde em todo o mundo.
Desde o início de agosto de 2025, por exemplo, o grupo de extorsão Clop explorou outra falha do Oracle EBS, a
CVE-2025-61882
, em ataques zero-day contra alvos de grande visibilidade, como Logitech, GlobalLogic e The Washington Post, além de universidades dos Estados Unidos, entre elas Harvard University, University of Pennsylvania, Dartmouth College e University of Phoenix.
Mais recentemente, em junho, a Oracle lançou medidas emergenciais para reduzir os riscos de uma vulnerabilidade crítica zero-day do PeopleSoft Suite, a
CVE-2026-35273
. O grupo de extorsão ShinyHunters explorou a falha entre 27 de maio e 9 de junho.
Ao explorar a vulnerabilidade, os threat actors conseguiram executar código remotamente e sem autenticação nos sistemas das vítimas. Eles também roubaram dados de diversas organizações em todo o mundo, incluindo Nottingham University, Nissan e National Association of Insurance Commissioners (NAIC).
Desde novembro de 2021, a CISA adicionou 46 vulnerabilidades da Oracle à lista de falhas exploradas ativamente. Treze delas também foram usadas em ataques de ransomware.
Publicidade
Tenha acesso aos melhores hackers éticos do mercado através de um serviço personalizado, especializado e adaptado para o seu negócio. Guardsi: qualidade, confiança e especialidade em segurança ofensiva de quem já protegeu centenas de empresas. Saiba mais...