Ing. Calogero Bono
Oracle ha pubblicato il 20 ottobre 2026 il suo Critical Patch Update con 1295 nuove patch di sicurezza. Pochi giorni dopo, il 27 ottobre, la società di threat intelligence Defused Cyber ha segnalato tentativi di sfruttamento esplorativi contro una falla di Oracle E-Business Suite, la CVE-2026-101767, con punteggio CVSS 9.8. Conta per chiunque gestisca l'ERP aziendale di Oracle, perché i dati in gioco possono essere contabili, paghe e acquisti. Chi non ha ancora applicato la patch è nella finestra più delicata.
Qualche termine, prima di entrare nei fatti. CVE è il codice che identifica in modo univoco una vulnerabilità. CVSS è la scala da 0 a 10 che ne misura la gravità. RCE significa esecuzione di codice da remoto, cioè far girare comandi su un server altrui. SQL injection è l'inserimento di istruzioni database in una richiesta web. EBS è Oracle E-Business Suite, la suite gestionale.
Cosa ha pubblicato Oracle a ottobre
Secondo l'avviso ufficiale di Oracle, il Critical Patch Update contiene 1295 nuove patch per diverse famiglie di prodotti. Per i soli prodotti database ne indica 14 nuove, più quelle di terze parti. Di queste, 4 vulnerabilità possono essere sfruttate da remoto senza autenticazione. Nella tabella compare per esempio una falla OpenSSL nel database con punteggio 9.8.
Oracle ricorda che le patch arrivano solo per le versioni coperte da Premier Support o Extended Support. Le versioni fuori supporto non vengono nemmeno testate. L'azienda scrive anche di ricevere periodicamente segnalazioni di attacchi contro vulnerabilità già corrette. In alcuni casi gli aggressori ci sono riusciti perché i clienti non avevano applicato le patch.
Come funziona la falla CVE-2026-101767?
Si tratta di un problema di autenticazione nell'Application Object Library di EBS. Secondo The Hacker News, i ricercatori di Horizon3.ai Brandon Peterson, Jimi Sebree e Noah King l'hanno segnalata a Oracle il 24 luglio 2026.
La catena di attacco
Horizon3.ai la descrive come una SQL injection non autenticata nel servlet Thin Client Framework, concatenabile fino all'esecuzione di codice da remoto. Una richiesta costruita ad arte verso il percorso /OA_HTML/AppsTCFServer permette di eseguire SQL con i privilegi dell'utente database APPS. Da lì si arriva ai comandi del sistema operativo con i privilegi dell'account applicativo di EBS.
Quali dati sono a rischio
Horizon3.ai avverte che, a seconda dell'installazione, i dati coinvolti possono includere registri finanziari, paghe, risorse umane e acquisti. I sistemi esposti su internet sono i più a rischio. Anche quelli interni possono essere colpiti se l'attaccante raggiunge il servlet da un sistema compromesso o da un altro segmento di rete.
Chi sta cercando i sistemi vulnerabili?
Defused Cyber ha dichiarato che i suoi sistemi esca hanno registrato exploit esplorativi contro la CVE-2026-101767 il 27 ottobre. BleepingComputer precisa che Oracle non ha ancora marcato la falla come sfruttata attivamente. Shadowserver traccia oltre 670 istanze EBS esposte, soprattutto con indirizzi statunitensi, ma non dice quante siano esche o già protette.
Il contesto pesa. Le fonti ricordano che CVE-2025-61882 è stata usata dal gruppo di estorsione Clop, e che un'altra falla di PeopleSoft è stata sfruttata da ShinyHunters. Secondo BleepingComputer, da novembre 2021 CISA ha inserito 46 bug Oracle tra quelli sfruttati attivamente, 13 dei quali usati anche in attacchi ransomware.
Cosa fare se non puoi aggiornare subito
Gli aggiornamenti restano la prima risposta. Se non è possibile, The Hacker News riporta queste misure.
- Rimuovere /OA_HTML/AppsTCFServer dalla allowlist del firewall URL di EBS.
- Limitare l'accesso al livello web di EBS alle reti fidate.
- Monitorare host applicativo e database per segnali di compromissione.
Horizon3.ai indica anche indicatori di compromissione. Sono richieste POST non autenticate verso /OA_HTML/AppsTCFServer, ricognizione SQL subito dopo, file inattesi in $APPLPTMP e l'account oracle che avvia /bin/sh tramite il Concurrent Manager. Oracle avverte che bloccare protocolli o togliere privilegi può rompere funzioni applicative, quindi va provato prima su sistemi non di produzione.
Limiti da conoscere
Non risulta una conferma di sfruttamento attivo da parte di Oracle. Defused parla di tentativi esplorativi su sistemi esca, non di violazioni riuscite. Non sappiamo quante istanze esposte siano ancora vulnerabili, perché Shadowserver non lo distingue. La tabella di Oracle che abbiamo a disposizione è inoltre troncata, quindi non possiamo riportare tutte le vulnerabilità del ciclo. Il quadro può cambiare in fretta, anche con codice di exploit pubblico.
Cosa cambia per chi lavora con il digitale
Se la tua azienda o quella di un cliente usa EBS, la patch non è più da pianificare, è da fare. Il tempo tra correzione e scansioni è stato di una settimana. Controlla se il servlet è raggiungibile da internet e chi può arrivarci dalla rete interna.
Chi sviluppa integrazioni su EBS dovrebbe ricostruire l'inventario delle istanze e delle versioni. Chi gestisce server per altri deve sapere quali sistemi sono fuori supporto, perché per quelli le patch non arrivano. Sul fronte organizzativo, un hosting con aggiornamenti di sicurezza gestiti toglie dalle spalle dell'azienda parte di questa rincorsa. Il tema dell'attaccante che automatizza la ricerca di falle lo abbiamo già trattato parlando dell'hacker AI autonomo e delle PMI italiane.
Il nostro parere
La notizia non è la falla in sé, ma la velocità. Una settimana dalla patch alle prime sonde significa che il calendario trimestrale di molte aziende è troppo lento per software esposto. Oracle fa bene a insistere sull'applicare le patch senza ritardi, ma un avviso con 1295 correzioni è difficile da digerire per un'azienda piccola con un solo sistemista.
Critichiamo un punto. I gestionali centrali, pieni di dati su paghe e fornitori, restano spesso raggiungibili da reti troppo ampie perché nessuno vuole toccarli. Ridurre la superficie esposta costa meno di qualunque incidente. Chi non ha un team interno dovrebbe trattare la sicurezza del software in azienda come un processo continuo e non come un intervento una tantum.
Domande frequenti
La CVE-2026-101767 è già sfruttata attivamente?
Non c'è conferma ufficiale. Oracle non l'ha ancora segnata come sfruttata, ma Defused Cyber ha registrato tentativi esplorativi il 27 ottobre sui propri sistemi esca.
Quanto è grave la falla?
Ha punteggio CVSS 9.8. Secondo BleepingComputer permette a un attaccante non autenticato con accesso HTTP di prendere il controllo del sistema con attacchi di bassa complessità.
Quali sistemi sono coinvolti?
Oracle E-Business Suite, in particolare l'Application Object Library e il servlet Thin Client Framework. Le fonti fornite non elencano qui le versioni interessate, quindi controlla l'avviso Oracle.
Che cosa posso fare se non riesco ad applicare la patch?
Rimuovi il percorso /OA_HTML/AppsTCFServer dalla allowlist del firewall e limita l'accesso al web tier a reti fidate. Monitora host e database. Prova ogni modifica prima su un ambiente non di produzione.
Anche i sistemi interni sono a rischio?
Sì. Secondo The Hacker News un sistema interno può essere colpito se l'attaccante raggiunge il servlet da una macchina compromessa o da un altro segmento di rete.
Tre mosse per le prossime settimane
Nei prossimi mesi guarda se Oracle e CISA classificheranno la falla come sfruttata attivamente, e se compariranno exploit pubblici. Intanto parti da qui.
- Applica il Critical Patch Update di ottobre alle istanze EBS, a partire da quelle esposte.
- Verifica nei log le richieste verso /OA_HTML/AppsTCFServer e gli indicatori di Horizon3.ai.
- Fai l'elenco delle versioni fuori supporto e pianifica l'upgrade.
