Ing. Calogero Bono
Oracle publicó el 20 de octubre de 2026 su Critical Patch Update con 1295 nuevos parches de seguridad. Pocos días después, el 27 de octubre, la empresa de threat intelligence Defused Cyber señaló intentos de explotación exploratorios contra un fallo de Oracle E-Business Suite, la CVE-2026-101767, con puntuación CVSS 9.8. Importa a cualquiera que gestione el ERP empresarial de Oracle, porque los datos en juego pueden ser contables, de nóminas y de compras. Quien todavía no ha aplicado el parche está en la ventana más delicada.
Algunos términos, antes de entrar en los hechos. CVE es el código que identifica de forma única una vulnerabilidad. CVSS es la escala de 0 a 10 que mide su gravedad. RCE significa ejecución de código remota, es decir, lanzar comandos en un servidor ajeno. SQL injection es la inserción de instrucciones de base de datos en una petición web. EBS es Oracle E-Business Suite, la suite de gestión empresarial.
Qué publicó Oracle en octubre
Según el aviso oficial de Oracle, el Critical Patch Update contiene 1295 nuevos parches para distintas familias de productos. Solo para los productos de base de datos indica 14 nuevos, además de los de terceros. De estos, 4 vulnerabilidades pueden explotarse de forma remota sin autenticación. En la tabla aparece, por ejemplo, un fallo de OpenSSL en la base de datos con puntuación 9.8.
Oracle recuerda que los parches llegan solo a las versiones cubiertas por Premier Support o Extended Support. Las versiones fuera de soporte ni siquiera se prueban. La empresa también escribe que recibe periódicamente informes de ataques contra vulnerabilidades ya corregidas. En algunos casos los atacantes tuvieron éxito porque los clientes no habían aplicado los parches.
¿Cómo funciona el fallo CVE-2026-101767?
Se trata de un problema de autenticación en el Application Object Library de EBS. Según The Hacker News, los investigadores de Horizon3.ai Brandon Peterson, Jimi Sebree y Noah King lo notificaron a Oracle el 24 de julio de 2026.
La cadena de ataque
Horizon3.ai lo describe como una SQL injection no autenticada en el servlet Thin Client Framework, encadenable hasta la ejecución remota de código. Una petición construida con esmero hacia la ruta /OA_HTML/AppsTCFServer permite ejecutar SQL con los privilegios del usuario de base de datos APPS. A partir de ahí se llega a los comandos del sistema operativo con los privilegios de la cuenta de aplicación de EBS.
Qué datos están en riesgo
Horizon3.ai advierte de que, según la instalación, los datos afectados pueden incluir registros financieros, nóminas, recursos humanos y compras. Los sistemas expuestos a internet son los más amenazados. También los internos pueden verse afectados si el atacante llega al servlet desde un sistema comprometido o desde otro segmento de red.
¿Quién busca los sistemas vulnerables?
Defused Cyber afirmó que sus sistemas señuelo registraron exploits exploratorios contra la CVE-2026-101767 el 27 de octubre. BleepingComputer precisa que Oracle todavía no ha marcado el fallo como explotado activamente. Shadowserver rastrea más de 670 instancias EBS expuestas, sobre todo con direcciones estadounidenses, pero no dice cuántas sean señuelos o ya estén protegidas.
El contexto pesa. Las fuentes recuerdan que la CVE-2025-61882 fue usada por el grupo de extorsión Clop, y que otro fallo de PeopleSoft fue explotado por ShinyHunters. Según BleepingComputer, desde noviembre de 2021 la CISA ha incluido 46 fallos de Oracle entre los explotados activamente, 13 de los cuales también se usaron en ataques de ransomware.
Qué hacer si no puedes actualizar de inmediato
Las actualizaciones siguen siendo la primera respuesta. Si no es posible, The Hacker News recoge estas medidas.
- Eliminar /OA_HTML/AppsTCFServer de la allowlist del firewall de URL de EBS.
- Limitar el acceso a la capa web de EBS a redes de confianza.
- Monitorizar el host de aplicación y la base de datos en busca de señales de compromiso.
Horizon3.ai también indica indicadores de compromiso. Son peticiones POST no autenticadas hacia /OA_HTML/AppsTCFServer, reconocimiento SQL justo después, archivos inesperados en $APPLPTMP y la cuenta oracle lanzando /bin/sh a través del Concurrent Manager. Oracle advierte de que bloquear protocolos o quitar privilegios puede romper funciones de la aplicación, así que conviene probarlo antes en sistemas que no sean de producción.
Límites que conviene conocer
No hay confirmación de explotación activa por parte de Oracle. Defused habla de intentos exploratorios contra sistemas señuelo, no de intrusiones logradas. No sabemos cuántas instancias expuestas siguen siendo vulnerables, porque Shadowserver no lo distingue. La tabla de Oracle que tenemos además está truncada, así que no podemos reportar todas las vulnerabilidades del ciclo. El panorama puede cambiar deprisa, sobre todo si aparece código de exploit público.
Qué cambia para quien trabaja con lo digital
Si tu empresa o la de un cliente usa EBS, el parche ya no es algo que planificar, es algo que hacer. El tiempo entre la corrección y los escaneos fue de una semana. Comprueba si el servlet es accesible desde internet y quién puede llegar a él desde la red interna.
Quien desarrolla integraciones sobre EBS debería reconstruir el inventario de instancias y versiones. Quien gestiona servidores para terceros debe saber qué sistemas están fuera de soporte, porque para esos no llegan parches. En el plano organizativo, un hosting con actualizaciones de seguridad gestionadas quita a la empresa parte de esta carrera. El tema del atacante que automatiza la búsqueda de fallos ya lo tratamos al hablar del hacker de IA autónomo y las pymes italianas.
Nuestra opinión
La noticia no es el fallo en sí, sino la velocidad. Una semana desde el parche hasta las primeras sondas significa que el calendario trimestral de muchas empresas es demasiado lento para software expuesto. Oracle hace bien en insistir en aplicar los parches sin demora, pero un aviso con 1295 correcciones es difícil de digerir para una empresa pequeña con un solo administrador de sistemas.
Hacemos una crítica. Los gestores centrales, llenos de datos de nóminas y proveedores, suelen seguir accesibles desde redes demasiado amplias porque nadie quiere tocarlos. Reducir la superficie expuesta cuesta menos que cualquier incidente. Quien no tiene un equipo interno debería tratar la seguridad del software en la empresa como un proceso continuo y no como una intervención puntual.
Preguntas frecuentes
¿La CVE-2026-101767 ya se explota activamente?
No hay confirmación oficial. Oracle todavía no la ha marcado como explotada, pero Defused Cyber registró intentos exploratorios el 27 de octubre en sus sistemas señuelo.
¿Qué gravedad tiene el fallo?
Tiene puntuación CVSS 9.8. Según BleepingComputer, permite a un atacante no autenticado con acceso HTTP tomar el control del sistema mediante ataques de baja complejidad.
¿Qué sistemas están afectados?
Oracle E-Business Suite, en particular el Application Object Library y el servlet Thin Client Framework. Las fuentes disponibles no enumeran aquí las versiones afectadas, así que consulta el aviso de Oracle.
¿Qué puedo hacer si no consigo aplicar el parche?
Quita la ruta /OA_HTML/AppsTCFServer de la allowlist del firewall y limita el acceso a la capa web a redes de confianza. Monitoriza el host y la base de datos. Prueba cada cambio primero en un entorno que no sea de producción.
¿También están en riesgo los sistemas internos?
Sí. Según The Hacker News, un sistema interno puede verse afectado si el atacante llega al servlet desde una máquina comprometida o desde otro segmento de red.
Tres pasos para las próximas semanas
En los próximos meses, fíjate en si Oracle y CISA clasifican el fallo como explotado activamente y si aparecen exploits públicos. Mientras tanto, empieza por aquí.
- Aplica el Critical Patch Update de octubre a las instancias EBS, empezando por las expuestas.
- Revisa en los registros las peticiones hacia /OA_HTML/AppsTCFServer y los indicadores de Horizon3.ai.
- Haz la lista de versiones fuera de soporte y planifica la actualización.
