Resumo para quem decide

A Oracle corrigiu uma falha crítica no Oracle E-Business Suite (EBS) na Critical Patch Update (CPU) de outubro de 2026, publicada em 20 de outubro. Sete dias depois, em 27 de outubro, a empresa de threat intelligence Defused já registrava tentativas de exploração contra essa falha, catalogada como CVE-2026-101767, em honeypots que simulam instâncias de EBS.

A vulnerabilidade afeta as versões 12.2.3 a 12.2.15 do Oracle E-Business Suite e pode ser explorada via HTTP, sem autenticação. A Oracle ainda não classificou o CVE-2026-101767 como explorado ativamente, segundo a BleepingComputer. O que existe confirmado, até agora, é varredura em massa buscando sistemas vulneráveis, não comprometimento confirmado.

Isso não é motivo para relaxar. O Shadowserver rastreia mais de 670 instâncias de Oracle EBS expostas diretamente na internet, a maioria nos Estados Unidos. O EBS é um alvo recorrente de grupos de extorsão: o Clop já explorou outra falha do mesmo produto (CVE-2025-61882) desde agosto de 2025 contra Harvard, Washington Post e Logitech, entre outros. Se sua empresa roda EBS nas versões afetadas, o patch da CPU de outubro de 2026 precisa ser aplicado agora, não no próximo ciclo de manutenção.

O que é o CVE-2026-101767 e por que ele é crítico

O CVE-2026-101767 está localizado no componente Application Object Library, sub-componente Core, do Oracle E-Business Suite. Segundo a Oracle, o vetor de ataque é HTTP.

A BleepingComputer resume o impacto de forma direta: a falha “permite que agentes de ameaça não autenticados com acesso de rede HTTP assumam o controle de sistemas vulneráveis em ataques de baixa complexidade”. Em outras palavras, não é preciso ter credenciais válidas nem executar uma cadeia complexa de passos para comprometer um sistema vulnerável. Basta alcance de rede até a interface HTTP do EBS.

A classificação de “crítica” vem da BleepingComputer e da natureza do vetor (HTTP, sem autenticação). O score CVSS de cada CVE fica na matriz de risco do Oracle E-Business Suite, dentro do aviso da CPU de outubro, que é o lugar certo para conferir antes de priorizar.

O CVE-2026-101767 foi descoberto e reportado à Oracle por três pesquisadores da Horizon3.ai: Brandon Peterson, Jimi Sebree e Noah King.

Como a falha pode ser explorada: a divergência entre o aviso da Oracle e a análise da Defused

Aqui vale destacar um ponto que interessa a quem precisa avaliar o risco tecnicamente. O aviso oficial da Oracle descreve o problema de forma genérica, apenas como uma falha no componente “Application Object Library / Core”, sem detalhar o mecanismo exato de exploração.

A Defused, empresa de threat intelligence que opera honeypots simulando instâncias de EBS, descreve o problema com mais profundidade: segundo ela, trata-se de “uma SQL injection não autenticada no servlet Thin Client Framework do EBS, que encadeia para execução remota de código (RCE)”. Essa descrição técnica não aparece no texto oficial da Oracle, apenas na análise divulgada pela Defused e replicada pela BleepingComputer.

Essa diferença entre o aviso oficial, deliberadamente vago, e a análise técnica de terceiros é comum em avisos de segurança de grandes fabricantes. Para o time técnico, o recado prático é que o vetor de ataque é SQL injection em um servlet específico do EBS, encadeada para RCE completo, caso a descrição da Defused esteja correta. Isso reforça por que a recomendação de patch deve ser tratada como urgente: a complexidade do exploit, segundo a imprensa, é baixa.

Versões afetadas e o patch disponível na CPU de outubro de 2026

As versões afetadas pelo CVE-2026-101767, conforme a CPU de outubro de 2026 da Oracle, são:

• Oracle E-Business Suite 12.2.3
• Oracle E-Business Suite 12.2.4
• Oracle E-Business Suite 12.2.5
• Oracle E-Business Suite 12.2.6
• Oracle E-Business Suite 12.2.7
• Oracle E-Business Suite 12.2.8
• Oracle E-Business Suite 12.2.9
• Oracle E-Business Suite 12.2.10
• Oracle E-Business Suite 12.2.11
• Oracle E-Business Suite 12.2.12
• Oracle E-Business Suite 12.2.13
• Oracle E-Business Suite 12.2.14
• Oracle E-Business Suite 12.2.15

A correção foi publicada na Critical Patch Update de 20 de outubro de 2026, que no total trouxe 1.295 novos patches de segurança cobrindo múltiplos produtos Oracle, não apenas o EBS. A Oracle recomenda, no texto do próprio aviso, manter os ambientes em versões ativamente suportadas e aplicar os patches disponíveis sem demora, afirmando de forma genérica que “em algumas instâncias, foi reportado que atacantes tiveram sucesso porque clientes-alvo não aplicaram os patches Oracle disponíveis”.

Esse tipo de situação, falha crítica não autenticada em sistema corporativo essencial com correção já disponível, não é exclusividade da Oracle. O mesmo padrão de urgência apareceu recentemente em uma vulnerabilidade crítica no Microsoft Exchange que exigiu ação imediata, reforçando que sistemas de retaguarda corporativos são alvo prioritário assim que um patch vira público.

Linha do tempo: do patch ao início do scanning em apenas 7 dias

A sequência de eventos documentada é curta e vale ser entendida com atenção por quem gerencia patches em ambientes de ERP:

• 20 de outubro de 2026: Oracle publica a CPU de outubro, incluindo a correção para o CVE-2026-101767.
• 27 de outubro de 2026: a Defused relata, em seus honeypots de Oracle EBS, ter capturado tentativas exploratórias (scanning) contra o CVE-2026-101767.

Isso significa que, em uma semana, atacantes já estavam testando ativamente a presença da falha em sistemas expostos. É importante ser preciso aqui: o que a Defused identificou foi varredura e tentativa de exploração, não confirmação de comprometimento bem-sucedido. A Oracle, até o momento, não classificou essa CVE como explorada ativamente.

Mas a distinção entre “scanning” e “exploração confirmada” não deve gerar falsa sensação de segurança. Scanning é, tipicamente, o primeiro estágio de uma campanha de exploração em massa: atacantes buscam sistematicamente por sistemas vulneráveis antes de direcionar esforço de exploração real contra os alvos identificados. Para entender melhor essa diferença entre varredura automatizada e testes de intrusão mais profundos, vale a leitura sobre scans de vulnerabilidades e pentests e suas diferenças.

Na prática, uma janela de sete dias entre patch público e início de scanning é curta demais para qualquer empresa que opere em ciclos de manutenção mensais ou trimestrais. Se o seu processo de gestão de patches para sistemas ERP não trata correções de severidade crítica como exceção ao calendário normal, esse é o tipo de caso que justifica revisão do processo.

Exposição na internet: o que os dados do Shadowserver mostram (e o que não mostram)

O Shadowserver, projeto que mapeia exposição de sistemas na internet pública, rastreia mais de 670 instâncias de Oracle E-Business Suite acessíveis diretamente pela internet, a maioria com endereços IP registrados nos Estados Unidos.

Esse número precisa ser lido com cautela, e o próprio Shadowserver não resolve duas perguntas importantes: quantas dessas 670+ instâncias são honeypots (sistemas-isca criados propositalmente para atrair atacantes, não ambientes de produção reais) e quantas já aplicaram o patch de outubro de 2026 e estão protegidas. Ou seja, o número bruto de instâncias expostas não equivale ao número de alvos realmente vulneráveis e comprometíveis.

Essa limitação ilustra bem como ferramentas de telemetria e varredura de superfície de ataque funcionam: elas mostram o que está visível e acessível pela internet, mas não necessariamente o estado de atualização ou a natureza de cada sistema encontrado. Entender essa diferença entre o que uma varredura detecta e o que ela de fato comprova é central para qualquer análise de exposição, tema também tratado no post sobre diferenças entre scans de vulnerabilidades e pentests.

O ponto prático para o gestor de TI é mais simples que a estatística: sistemas de ERP como o Oracle EBS, que concentram dados financeiros, de RH e de cadeia de suprimentos, normalmente não deveriam estar expostos diretamente à internet pública sem controles adicionais de rede, como segmentação, VPN ou listas de acesso restritas. Se sua empresa tem alguma instância de EBS acessível diretamente pela internet, esse é o primeiro ponto a revisar, independentemente do status de patch daquele sistema especificamente.

Por que o Oracle EBS é um alvo recorrente para grupos de extorsão

O CVE-2026-101767 não é um caso isolado. O histórico recente de exploração contra produtos Oracle mostra um padrão consistente de ataques bem-sucedidos contra sistemas de ERP:

• Desde agosto de 2025, o grupo de extorsão Clop explorou outra falha do EBS, o CVE-2025-61882, em ataques zero-day (ou seja, antes de existir patch disponível) contra alvos de alto perfil, incluindo Logitech, GlobalLogic, Washington Post e universidades dos Estados Unidos como Harvard, University of Pennsylvania, Dartmouth College e University of Phoenix.
• Em junho de 2026, a Oracle lançou mitigações emergenciais para um zero-day crítico no PeopleSoft Suite (CVE-2026-35273), explorado pelo grupo ShinyHunters entre 27 de maio e 9 de junho. O grupo obteve execução remota de código não autenticada e roubou dados de organizações como Nottingham University, Nissan e a National Association of Insurance Commissioners (NAIC).
• Desde novembro de 2021, a CISA (agência de segurança cibernética dos Estados Unidos) adicionou 46 falhas de produtos Oracle à sua lista de vulnerabilidades ativamente exploradas (KEV, Known Exploited Vulnerabilities), das quais 13 também foram usadas em ataques de ransomware.

Esses números deixam claro que ERPs Oracle, EBS e PeopleSoft entre eles, são alvo recorrente e lucrativo para grupos de extorsão e roubo de dados em massa. A razão é estrutural: sistemas de ERP concentram dados financeiros, de recursos humanos e de clientes de organizações grandes, tornando qualquer execução remota de código não autenticada extremamente valiosa para quem pratica roubo de dados seguido de extorsão.

Esse padrão não é exclusivo da Oracle. Outros ERPs amplamente usados em ambientes corporativos também já foram alvo de vulnerabilidades críticas com potencial de invasão total do sistema, como mostra o caso de uma vulnerabilidade crítica em sistemas SAP que permitia invasão total de ambientes corporativos. O recado para quem administra qualquer ERP crítico, Oracle, SAP ou outro, é o mesmo: esses sistemas exigem tratamento de patch prioritário e visibilidade constante sobre exposição à internet.

Como proteger seu Oracle E-Business Suite agora

Para empresas que operam Oracle E-Business Suite nas versões 12.2.3 a 12.2.15, as ações recomendadas, com base no que foi divulgado pela Oracle e pela BleepingComputer, são:

Aplicar o patch da CPU de outubro de 2026 imediatamente. Essa é a única mitigação oficial divulgada para o CVE-2026-101767. Não há workaround alternativo mencionado pela Oracle, como desabilitar um componente específico ou aplicar regra de firewall temporária. A correção definitiva passa pela aplicação do patch disponibilizado na Critical Patch Update de outubro.

Verificar se alguma instância de EBS está exposta diretamente à internet. Dado que o vetor de ataque é HTTP e a exploração não exige autenticação, qualquer instância acessível publicamente deve ser tratada como prioridade máxima de correção. Se a exposição à internet não é estritamente necessária para o seu caso de uso, considere restringir o acesso via VPN, segmentação de rede ou listas de controle de acesso.

Confirmar a versão exata do EBS em produção. Como a faixa de versões afetadas vai de 12.2.3 a 12.2.15, cobrindo praticamente todo o ciclo ativo do produto, é importante confirmar exatamente qual build está rodando antes de aplicar o patch, para garantir que o pacote correto seja instalado.

Monitorar ativamente logs de acesso ao EBS em busca de tentativas de exploração. Como a Defused já identificou scanning ativo contra essa falha, times de segurança devem revisar logs de acesso HTTP ao Thin Client Framework e a outros componentes do Application Object Library em busca de padrões anômalos, mesmo após aplicar o patch, para confirmar que não houve tentativa de exploração anterior à correção.

Tratar monitoramento ativo como complemento aos boletins oficiais, não substituto. O fato de a descrição técnica mais detalhada da falha ter vindo de uma empresa de threat intelligence operando honeypots, e não do aviso oficial da Oracle, reforça que depender apenas de boletins de fabricante pode atrasar o entendimento real do risco. Times de segurança que acompanham fontes de inteligência de ameaças, além dos canais oficiais, tendem a identificar esse tipo de contexto operacional mais cedo.

Vale lembrar também que sistemas de ERP frequentemente dependem de integrações com fornecedores terceiros, módulos customizados e plugins, o que amplia a superfície de risco além do núcleo do próprio EBS. Esse tipo de dependência em cadeia é discutido com mais profundidade no post sobre vulnerabilidades ocultas na cadeia digital de fornecedores, um ponto relevante para quem administra EBS com customizações ou integrações de terceiros.

Perguntas frequentes sobre o CVE-2026-101767

O CVE-2026-101767 já está sendo explorado ativamente?
Não há confirmação disso até o momento. A Oracle não classificou essa CVE como explorada ativamente. O que existe confirmado, segundo a Defused, é scanning (varredura automatizada buscando sistemas vulneráveis) capturado em honeypots a partir de 27 de outubro de 2026, sete dias após a publicação do patch.

Quais versões do Oracle E-Business Suite são afetadas?
As versões 12.2.3 a 12.2.15, conforme a Critical Patch Update de outubro de 2026 da Oracle.

É preciso ter credenciais para explorar essa falha?
Não. Segundo a BleepingComputer, a falha pode ser explorada por agentes não autenticados com acesso de rede HTTP ao sistema vulnerável, em ataques classificados como de baixa complexidade.

Existe algum workaround além de aplicar o patch?
As informações divulgadas pela Oracle não mencionam workaround alternativo. A orientação oficial é aplicar o patch disponibilizado na CPU de outubro de 2026 e manter o ambiente em versão ativamente suportada.

Minha instância de EBS está exposta à internet. Isso significa que já fui comprometido?
Não necessariamente. O Shadowserver rastreia mais de 670 instâncias de EBS expostas publicamente, mas não há como saber, a partir desses dados, quantas já foram comprometidas, quantas já aplicaram o patch ou quantas são honeypots. Exposição à internet aumenta o risco, mas não confirma comprometimento. O passo recomendado é verificar a versão instalada, aplicar o patch e revisar logs de acesso em busca de atividade anômala.

Esse caso tem relação com os ataques do Clop ou do ShinyHunters contra Oracle?
São falhas diferentes. O Clop explorou o CVE-2025-61882, também no EBS, desde agosto de 2025. O ShinyHunters explorou o CVE-2026-35273, no PeopleSoft Suite, em maio e junho de 2026. O CVE-2026-101767 é uma vulnerabilidade distinta, corrigida na CPU de outubro de 2026, mas o histórico desses dois grupos ilustra por que ERPs Oracle são alvo recorrente de grupos de extorsão e roubo de dados.