Ing. Calogero Bono
Oracle merilis Critical Patch Update pada 20 Oktober 2026 dengan 1295 patch keamanan baru. Beberapa hari kemudian, tepatnya 27 Oktober, perusahaan threat intelligence Defused Cyber melaporkan upaya eksploitasi eksploratif terhadap celah Oracle E-Business Suite, yaitu CVE-2026-101767, dengan skor CVSS 9.8. Ini penting bagi siapa pun yang mengelola ERP perusahaan dari Oracle, karena data yang terlibat bisa berupa pembukuan, penggajian, dan pembelian. Mereka yang belum menerapkan patch berada dalam masa paling genting.
Beberapa istilah sebelum masuk ke fakta. CVE adalah kode yang mengidentifikasi kerentanan secara unik. CVSS adalah skala 0 sampai 10 yang mengukur tingkat keparahannya. RCE berarti eksekusi kode dari jarak jauh, yaitu menjalankan perintah di server milik orang lain. SQL injection adalah penyisipan instruksi database ke dalam permintaan web. EBS adalah Oracle E-Business Suite, paket aplikasi manajemen bisnis.
Apa yang dirilis Oracle pada Oktober
Menurut pengumuman keamanan resmi Oracle, Critical Patch Update berisi 1295 patch baru untuk berbagai famili produk. Untuk produk database saja ada 14 patch baru, ditambah yang berasal dari pihak ketiga. Dari jumlah itu, 4 kerentanan bisa dieksploitasi dari jarak jauh tanpa autentikasi. Dalam tabel, misalnya, tercantum celah OpenSSL di database dengan skor 9.8.
Oracle mengingatkan bahwa patch hanya diberikan untuk versi yang masih dicakup Premier Support atau Extended Support. Versi yang sudah tidak didukung bahkan tidak diuji. Perusahaan juga menulis bahwa mereka secara berkala menerima laporan serangan terhadap kerentanan yang sudah diperbaiki. Dalam beberapa kasus, penyerang berhasil karena pelanggan belum menerapkan patch.
Bagaimana cara kerja celah CVE-2026-101767?
Ini adalah masalah autentikasi di Application Object Library milik EBS. Menurut The Hacker News, peneliti Horizon3.ai yaitu Brandon Peterson, Jimi Sebree, dan Noah King melaporkannya ke Oracle pada 24 Juli 2026.
Rantai serangannya
Horizon3.ai menggambarkannya sebagai SQL injection tanpa autentikasi di servlet Thin Client Framework, yang bisa dirangkai hingga menjadi eksekusi kode jarak jauh. Permintaan yang disusun khusus ke jalur /OA_HTML/AppsTCFServer memungkinkan penyerang menjalankan SQL dengan hak akses pengguna database APPS. Dari situ penyerang bisa sampai ke perintah sistem operasi dengan hak akses akun aplikasi EBS.
Data apa yang berisiko
Horizon3.ai memperingatkan bahwa, tergantung instalasinya, data yang terlibat bisa mencakup catatan keuangan, penggajian, sumber daya manusia, dan pembelian. Sistem yang terpapar internet paling berisiko. Sistem internal pun bisa terdampak jika penyerang mencapai servlet dari sistem yang sudah disusupi atau dari segmen jaringan lain.
Siapa yang mencari sistem yang rentan?
Defused Cyber menyatakan bahwa sistem umpannya mencatat exploit eksploratif terhadap CVE-2026-101767 pada 27 Oktober. BleepingComputer mencatat bahwa Oracle belum menandai celah ini sebagai dieksploitasi secara aktif. Shadowserver melacak lebih dari 670 instans EBS yang terpapar, sebagian besar beralamat di Amerika Serikat, tetapi tidak menyebutkan berapa banyak yang merupakan umpan atau sudah terlindungi.
Konteksnya juga penting. Sumber-sumber mengingatkan bahwa CVE-2025-61882 pernah dipakai oleh kelompok pemerasan Clop, dan celah PeopleSoft lain dieksploitasi oleh ShinyHunters. Menurut BleepingComputer, sejak November 2021 CISA telah memasukkan 46 bug Oracle ke daftar yang dieksploitasi secara aktif, dan 13 di antaranya juga dipakai dalam serangan ransomware.
Apa yang harus dilakukan jika belum bisa memperbarui sekarang
Pembaruan tetap menjadi respons pertama. Jika tidak memungkinkan, The Hacker News mencatat langkah-langkah berikut.
- Hapus /OA_HTML/AppsTCFServer dari allowlist firewall URL EBS.
- Batasi akses ke web tier EBS hanya dari jaringan tepercaya.
- Pantau host aplikasi dan database untuk tanda-tanda kompromi.
Horizon3.ai juga menyebutkan indikator kompromi. Ini berupa permintaan POST tanpa autentikasi ke /OA_HTML/AppsTCFServer, pengintaian SQL segera setelahnya, file tak terduga di $APPLPTMP, dan akun oracle yang menjalankan /bin/sh melalui Concurrent Manager. Oracle mengingatkan bahwa memblokir protokol atau mencabut hak akses bisa merusak fungsi aplikasi, jadi sebaiknya diuji dulu di sistem non-produksi.
Batasan yang perlu kamu ketahui
Belum ada konfirmasi eksploitasi aktif dari Oracle. Defused berbicara tentang upaya eksploratif terhadap sistem umpan, bukan pelanggaran yang berhasil. Kita tidak tahu berapa banyak instans yang terpapar masih rentan, karena Shadowserver tidak membedakannya. Tabel Oracle yang kami miliki juga terpotong, sehingga kami tidak bisa melaporkan semua kerentanan dalam siklus ini. Situasinya bisa berubah cepat, apalagi jika kode exploit publik muncul.
Dampaknya bagi yang bekerja dengan teknologi digital
Jika perusahaanmu atau perusahaan klienmu menggunakan EBS, patch bukan lagi sesuatu yang bisa dijadwalkan nanti, melainkan harus segera dilakukan. Jarak antara perbaikan dan pemindaian hanya sekitar satu minggu. Periksa apakah servlet bisa dijangkau dari internet dan siapa saja yang bisa mengaksesnya dari jaringan internal.
Pengembang integrasi EBS sebaiknya menyusun ulang inventaris instans dan versinya. Penyedia layanan yang mengelola server untuk pihak lain harus tahu sistem mana yang sudah tidak didukung, karena untuk sistem itu patch tidak akan datang. Dari sisi organisasi, hosting dengan pembaruan keamanan terkelola bisa meringankan sebagian beban perlombaan ini. Topik penyerang yang mengotomatisasi pencarian celah sudah pernah kami bahas dalam artikel tentang hacker AI otonom dan UKM Italia.
Pendapat kami
Berita utamanya bukan celahnya, melainkan kecepatannya. Seminggu dari patch hingga pemindaian pertama berarti kalender triwulanan banyak perusahaan terlalu lambat untuk perangkat lunak yang terpapar. Oracle benar mendorong penerapan patch tanpa menunda, tetapi satu pemberitahuan dengan 1295 perbaikan sulit dicerna oleh perusahaan kecil dengan hanya satu administrator sistem.
Kami punya satu kritik. Sistem manajemen pusat, yang penuh data penggajian dan pemasok, sering tetap bisa dijangkau dari jaringan yang terlalu luas karena tidak ada yang mau menyentuhnya. Mengurangi permukaan yang terpapar jauh lebih murah dibanding insiden apa pun. Perusahaan yang tidak punya tim internal sebaiknya memperlakukan keamanan perangkat lunak di perusahaan sebagai proses berkelanjutan, bukan intervensi sekali saja.
Pertanyaan yang sering diajukan
Apakah CVE-2026-101767 sudah dieksploitasi secara aktif?
Belum ada konfirmasi resmi. Oracle belum menandainya sebagai dieksploitasi, tetapi Defused Cyber mencatat upaya eksploratif pada 27 Oktober di sistem umpannya.
Seberapa parah celah ini?
Skornya CVSS 9.8. Menurut BleepingComputer, celah ini memungkinkan penyerang tanpa autentikasi dengan akses HTTP mengambil alih sistem melalui serangan berkompleksitas rendah.
Sistem mana saja yang terdampak?
Oracle E-Business Suite, khususnya Application Object Library dan servlet Thin Client Framework. Sumber yang tersedia tidak merinci versi yang terdampak di sini, jadi periksa pengumuman Oracle.
Apa yang bisa saya lakukan jika tidak bisa menerapkan patch?
Hapus jalur /OA_HTML/AppsTCFServer dari allowlist firewall dan batasi akses ke web tier hanya dari jaringan tepercaya. Pantau host dan database. Uji setiap perubahan dulu di lingkungan non-produksi.
Apakah sistem internal juga berisiko?
Ya. Menurut The Hacker News, sistem internal bisa terdampak jika penyerang mencapai servlet dari mesin yang sudah disusupi atau dari segmen jaringan lain.
Tiga langkah untuk beberapa minggu ke depan
Dalam beberapa bulan ke depan, pantau apakah Oracle dan CISA akan menggolongkan celah ini sebagai dieksploitasi secara aktif, dan apakah exploit publik muncul. Sementara itu, mulailah dari sini.
- Terapkan Critical Patch Update Oktober ke instans EBS, dimulai dari yang terpapar.
- Periksa log untuk permintaan ke /OA_HTML/AppsTCFServer dan indikator dari Horizon3.ai.
- Buat daftar versi yang sudah tidak didukung dan rencanakan upgrade.
