Ing. Calogero Bono
A Oracle publicou em 20 de outubro de 2026 o seu Critical Patch Update, com 1295 novas correções de segurança. Poucos dias depois, em 27 de outubro, a empresa de threat intelligence Defused Cyber relatou tentativas de exploração exploratórias contra uma falha do Oracle E-Business Suite, a CVE-2026-101767, com pontuação CVSS 9.8. Isso importa para quem gerencia o ERP corporativo da Oracle, porque os dados em jogo podem ser contábeis, de folha de pagamento e de compras. Quem ainda não aplicou a correção está no período mais delicado.
Alguns termos, antes de entrar nos fatos. CVE é o código que identifica de forma única uma vulnerabilidade. CVSS é a escala de 0 a 10 que mede a sua gravidade. RCE significa execução remota de código, ou seja, rodar comandos em um servidor de terceiros. SQL injection é a inserção de instruções de banco de dados em uma requisição web. EBS é o Oracle E-Business Suite, a suíte de gestão.
O que a Oracle publicou em outubro
De acordo com o aviso oficial da Oracle, o Critical Patch Update traz 1295 novas correções para diversas famílias de produtos. Só para os produtos de banco de dados são 14 novas, além das de terceiros. Dessas, 4 vulnerabilidades podem ser exploradas remotamente e sem autenticação. A tabela traz, por exemplo, uma falha do OpenSSL no banco de dados com pontuação 9.8.
A Oracle lembra que as correções chegam apenas para as versões cobertas pelo Premier Support ou pelo Extended Support. As versões fora de suporte nem chegam a ser testadas. A empresa também escreve que recebe periodicamente relatos de ataques contra vulnerabilidades já corrigidas. Em alguns casos, os atacantes conseguiram porque os clientes não tinham aplicado as correções.
Como funciona a falha CVE-2026-101767?
Trata-se de um problema de autenticação na Application Object Library do EBS. Segundo o The Hacker News, os pesquisadores da Horizon3.ai Brandon Peterson, Jimi Sebree e Noah King reportaram a falha à Oracle em 24 de julho de 2026.
A cadeia de ataque
A Horizon3.ai a descreve como uma SQL injection não autenticada no servlet Thin Client Framework, que pode ser encadeada até a execução remota de código. Uma requisição construída com cuidado para o caminho /OA_HTML/AppsTCFServer permite executar SQL com os privilégios do usuário de banco de dados APPS. Daí é possível chegar aos comandos do sistema operacional com os privilégios da conta de aplicação do EBS.
Quais dados estão em risco
A Horizon3.ai alerta que, dependendo da instalação, os dados envolvidos podem incluir registros financeiros, folha de pagamento, recursos humanos e compras. Os sistemas expostos na internet são os mais arriscados. Os internos também podem ser atingidos se o atacante alcançar o servlet a partir de um sistema comprometido ou de outro segmento de rede.
Quem está procurando sistemas vulneráveis?
A Defused Cyber afirmou que seus sistemas isca registraram exploits exploratórios contra a CVE-2026-101767 em 27 de outubro. O BleepingComputer observa que a Oracle ainda não marcou a falha como explorada ativamente. A Shadowserver rastreia mais de 670 instâncias do EBS expostas, principalmente com endereços dos Estados Unidos, mas não informa quantas são iscas ou já estão protegidas.
O contexto pesa. As fontes lembram que a CVE-2025-61882 foi usada pelo grupo de extorsão Clop, e que outra falha do PeopleSoft foi explorada pelo ShinyHunters. Segundo o BleepingComputer, desde novembro de 2021 a CISA incluiu 46 falhas da Oracle na lista de exploradas ativamente, 13 delas também usadas em ataques de ransomware.
O que fazer se você não puder atualizar agora
As atualizações continuam sendo a primeira resposta. Se não for possível, o The Hacker News relata estas medidas.
- Remover /OA_HTML/AppsTCFServer da allowlist do firewall de URL do EBS.
- Restringir o acesso à camada web do EBS às redes confiáveis.
- Monitorar o host de aplicação e o banco de dados em busca de sinais de comprometimento.
A Horizon3.ai também indica indicadores de comprometimento. São requisições POST não autenticadas para /OA_HTML/AppsTCFServer, reconhecimento SQL logo em seguida, arquivos inesperados em $APPLPTMP e a conta oracle iniciando /bin/sh pelo Concurrent Manager. A Oracle alerta que bloquear protocolos ou remover privilégios pode quebrar funções da aplicação, por isso o ideal é testar antes em sistemas que não são de produção.
Limites que você precisa conhecer
Não há confirmação de exploração ativa por parte da Oracle. A Defused fala de tentativas exploratórias em sistemas isca, não de invasões bem-sucedidas. Não sabemos quantas instâncias expostas ainda estão vulneráveis, porque a Shadowserver não faz essa distinção. A tabela da Oracle que temos à disposição também está truncada, então não podemos relatar todas as vulnerabilidades do ciclo. O quadro pode mudar rápido, inclusive com código de exploit público.
O que muda para quem trabalha com tecnologia digital
Se a sua empresa ou a de um cliente usa o EBS, a correção não é mais algo para planejar, é algo para fazer agora. O intervalo entre a correção e as varreduras foi de uma semana. Verifique se o servlet está acessível pela internet e quem consegue chegar a ele a partir da rede interna.
Quem desenvolve integrações no EBS deveria refazer o inventário das instâncias e das versões. Quem administra servidores para terceiros precisa saber quais sistemas estão fora de suporte, porque para eles as correções não chegam. No plano organizacional, uma hospedagem com atualizações de segurança gerenciadas tira das costas da empresa parte dessa corrida. O tema do atacante que automatiza a busca por falhas já foi abordado por nós ao falar do hacker de IA autônomo e das PMEs italianas.
Nossa opinião
A notícia não é a falha em si, mas a velocidade. Uma semana entre a correção e as primeiras sondagens significa que o calendário trimestral de muitas empresas é lento demais para softwares expostos. A Oracle faz bem em insistir na aplicação das correções sem atraso, mas um aviso com 1295 correções é difícil de digerir para uma empresa pequena com um único administrador de sistemas.
Fazemos uma crítica. Os sistemas de gestão centrais, cheios de dados sobre folha e fornecedores, costumam continuar acessíveis a partir de redes amplas demais, porque ninguém quer mexer neles. Reduzir a superfície exposta custa menos do que qualquer incidente. Quem não tem uma equipe interna deveria tratar a segurança do software na empresa como um processo contínuo, e não como uma intervenção pontual.
Perguntas frequentes
A CVE-2026-101767 já é explorada ativamente?
Não há confirmação oficial. A Oracle ainda não a marcou como explorada, mas a Defused Cyber registrou tentativas exploratórias em 27 de outubro nos seus sistemas isca.
Quão grave é a falha?
Ela tem pontuação CVSS 9.8. Segundo o BleepingComputer, permite que um atacante não autenticado com acesso HTTP assuma o controle do sistema com ataques de baixa complexidade.
Quais sistemas são afetados?
O Oracle E-Business Suite, em especial a Application Object Library e o servlet Thin Client Framework. As fontes disponíveis não listam aqui as versões afetadas, então consulte o aviso da Oracle.
O que posso fazer se não conseguir aplicar a correção?
Remova o caminho /OA_HTML/AppsTCFServer da allowlist do firewall e restrinja o acesso à camada web a redes confiáveis. Monitore o host e o banco de dados. Teste cada alteração antes em um ambiente que não seja de produção.
Os sistemas internos também correm risco?
Sim. Segundo o The Hacker News, um sistema interno pode ser atingido se o atacante alcançar o servlet a partir de uma máquina comprometida ou de outro segmento de rede.
Três passos para as próximas semanas
Nos próximos meses, acompanhe se a Oracle e a CISA classificarão a falha como explorada ativamente e se surgirão exploits públicos. Enquanto isso, comece por aqui.
- Aplique o Critical Patch Update de outubro nas instâncias do EBS, começando pelas expostas.
- Verifique nos logs as requisições para /OA_HTML/AppsTCFServer e os indicadores da Horizon3.ai.
- Faça a lista das versões fora de suporte e planeje a atualização.
