Passou apenas uma semana desde que a Oracle corrigiu uma vulnerabilidade crítica no Oracle E-Business Suite (EBS) e já há sinais de interesse por parte de atacantes. A empresa de threat intelligence Defused detetou as primeiras tentativas de exploração da CVE-2026-101767 a 27 de outubro. Trata-se de uma injeção de SQL que não exige autenticação e que pode levar à execução remota de código. Para as organizações que usam o ERP da Oracle em finanças, recursos humanos ou compras, a janela para aplicar a correção está a fechar-se depressa.
Resposta rápida: A CVE-2026-101767 (CVSS 9.8) afeta o Oracle E-Business Suite entre as versões 12.2.3 e 12.2.15. Um atacante sem credenciais pode explorá-la por HTTP para executar SQL e, a seguir, comandos no servidor. A correção saiu no Critical Patch Update de outubro de 2026 e já foram registadas tentativas exploratórias em honeypots. Aplique o patch quanto antes. Até lá, bloqueie o acesso externo a /OA_HTML/AppsTCFServer e procure indícios de compromisso nos registos.
O que está em causa
A falha está no Oracle Application Object Library, um módulo central do EBS. Segundo a descrição oficial, um atacante não autenticado com acesso de rede por HTTP pode explorá-la facilmente, sem interação do utilizador, e tomar o controlo do Oracle Application Object Library; as versões suportadas afetadas vão da 12.2.3 à 12.2.15.
Quem descobriu a vulnerabilidade foi a Horizon3.ai. Os investigadores explicam que ela permite a um atacante com acesso de rede ao servlet Thin Client Framework (TCF) executar SQL como o utilizador de base de dados APPS e, depois, correr comandos do sistema operativo com a conta da aplicação EBS. Há um pormenor que agrava o risco: o servlet vulnerável, em /OA_HTML/AppsTCFServer, é permitido pela configuração por omissão da firewall de URL do EBS.
O impacto vai além do servidor. A Horizon3.ai sublinha que, conforme a implementação, os dados afetados podem incluir registos financeiros, salariais, de recursos humanos e de compras. Ainda assim, a execução de comandos fica limitada às permissões da conta da aplicação EBS e não equivale, por si só, a privilégios de root.
| Campo | Detalhe |
|---|---|
| Identificador | CVE-2026-101767 |
| Gravidade | CVSS 3.1: 9.8 (crítica) |
| Vetor | CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
| Produto/componente | Oracle Application Object Library (Core), Oracle E-Business Suite |
| Versões afetadas | 12.2.3 a 12.2.15 |
| Tipo | Injeção de SQL sem autenticação (CWE-89), encadeável para execução remota de código |
| Correção | Oracle Critical Patch Update de outubro de 2026 |
Da divulgação às primeiras sondagens: a cronologia
Os avisos seguiram-se depressa. No dia em que a Oracle publicou o patch, a Horizon3.ai divulgou indicadores de compromisso, embora tenha guardado os pormenores técnicos completos para mais tarde. Na manhã de 27 de outubro, a Defused informou na rede X que os seus honeypots de Oracle EBS tinham registado “exploratory exploits” contra a falha. A SecurityWeek notou que, até à data, não havia outros relatos de exploração no terreno.
| Data (2026) | Acontecimento |
|---|---|
| 24 de julho | A Horizon3.ai comunica a vulnerabilidade à Oracle |
| 20 de outubro | A Oracle publica o Critical Patch Update de outubro com a correção; a Horizon3.ai divulga indicadores de compromisso |
| 21 de outubro | A falha ainda não consta do catálogo KEV da CISA e não há relatos públicos de exploração |
| 27 de outubro | A Defused regista tentativas exploratórias nos seus honeypots de Oracle EBS; surgem no GitHub repositórios que dizem conter código de prova de conceito |
Convém medir bem o que estas sondagens significam. São tentativas captadas em sistemas-isco e não compromissos confirmados de organizações reais. Até agora, nenhuma entidade oficial deu a vulnerabilidade como explorada de forma generalizada. No passado, porém, ataques ao EBS começaram exatamente assim, pouco depois de as correções serem publicadas.
Indicadores de compromisso a procurar
A Horizon3.ai publicou sinais que as equipas de segurança podem procurar nos registos do servidor web, da base de dados e do sistema operativo:
| Tipo | Indicador |
|---|---|
| Pedido web | Pedidos POST sem autenticação para /OA_HTML/AppsTCFServer que instanciam a classe oracle.apps.jtf.gantt.server.GanttDataServer, seguidos de atividade na base de dados |
| Base de dados | Reconhecimento SQL logo após pedidos web não autenticados (versão da base de dados, utilizador atual, objetos de diretório) |
| Sistema de ficheiros | Ficheiros inesperados em $APPLPTMP |
| Processos | Conta oracle a lançar /bin/sh através do Concurrent Manager |
Estes são indicadores de comportamento e não de infraestrutura. Até à data, nenhuma fonte primária publicou endereços IP ou domínios atribuídos com segurança à exploração desta CVE.
Como mitigar
A medida principal é aplicar o Critical Patch Update de outubro. Para isso, siga a documentação de disponibilidade de patches do EBS no My Oracle Support. Quem não puder atualizar já deve reduzir a exposição:
- Retirar
/OA_HTML/AppsTCFServerda lista de URL permitidos na firewall de URL do EBS. É uma recomendação da Horizon3.ai. - Restringir o acesso ao web tier do EBS a redes de confiança, por exemplo através de VPN ou de um reverse proxy com lista de endereços autorizados.
- Procurar nos registos web ou da WAF pedidos
POSTpara o servlet TCF sem sessão autenticada e cruzá-los com atividade invulgar do utilizador APPS. - Aplicar também as correções de outubro aos componentes de Oracle Database e Fusion Middleware de que o EBS depende.
A própria Horizon3.ai avisa que estas medidas reduzem a exposição mas não substituem o patch, e a Oracle não publicou nenhuma solução alternativa específica para esta falha.
Um patch trimestral de grandes dimensões
A CVE-2026-101767 é apenas uma das falhas corrigidas este trimestre. Segundo a análise da Tenable citada por vários especialistas, o Critical Patch Update de 20 de outubro trouxe correções para 1209 CVE únicas em 33 famílias de produtos. Só o E-Business Suite recebeu 194 patches, incluindo correções para 31 vulnerabilidades exploráveis remotamente sem autenticação.
Há ainda uma falha mais grave no mesmo produto. O serviço de alertas do NHS England Digital destaca a CVE-2026-101809, com classificação máxima de 10.0, que afeta o Workflow Notification Mailer. As versões suportadas afetadas são da 12.2.3 à 12.2.15, e a vulnerabilidade, fácil de explorar, permite a um atacante não autenticado com acesso por HTTP comprometer o Workflow. Quem só aplicar a correção da CVE-2026-101767 fica com outras portas abertas.
Um alvo com historial
Não é a primeira vez que o EBS da Oracle atrai atacantes. Em 2025, a CVE-2025-61882 foi explorada ativamente pelo grupo de ransomware Cl0p desde pelo menos agosto de 2025, quase dois meses antes de ser divulgada. A campanha serviu para roubar dados em massa e enviar depois e-mails de extorsão a administradores das empresas atingidas. Mais recentemente, em junho de 2026, a Defused alertou para ataques que exploravam a CVE-2026-46817, uma falha crítica no componente File Transmissions do módulo Payments.
Este historial explica a preocupação. Um ERP exposto à Internet concentra dados financeiros e pessoais e liga-se a muitos sistemas internos. Quando surge uma falha sem autenticação e com execução remota de código, os grupos de extorsão costumam ser rápidos a aproveitá-la.
Porque é que isto importa em Portugal
O Oracle E-Business Suite é usado por grandes empresas, grupos industriais, operadores de serviços e entidades públicas, incluindo em Portugal. Muitas PME não têm o EBS, mas os seus dados podem estar no EBS de um fornecedor, cliente ou prestador de serviços partilhados. Por isso, faz sentido perguntar aos parceiros críticos se usam a versão 12.2.x e se já aplicaram as correções de outubro.
Para as entidades abrangidas pelo Regime Jurídico da Cibersegurança (Decreto-Lei n.º 125/2025, que transpõe a diretiva NIS2), gerir vulnerabilidades e corrigir sistemas expostos com rapidez faz parte das medidas de segurança exigidas. Um incidente significativo tem de ser notificado ao CNCS, através do CERT.PT. Como estes sistemas guardam dados de salários e de recursos humanos, um compromisso pode ser também uma violação de dados pessoais ao abrigo do RGPD. Nesse caso, a CNPD tem de ser notificada no prazo de 72 horas sempre que exista risco para os titulares.
Perguntas frequentes
Que versões do Oracle E-Business Suite estão afetadas pela CVE-2026-101767?
As versões suportadas entre a 12.2.3 e a 12.2.15. A falha está no componente Core do Oracle Application Object Library.
A vulnerabilidade já está a ser explorada?
A Defused registou tentativas exploratórias nos seus honeypots a 27 de outubro de 2026. Até agora não há confirmação pública de organizações comprometidas, mas o risco de exploração em grande escala é real.
O que devo fazer se não puder aplicar o patch de imediato?
Retire o servlet /OA_HTML/AppsTCFServer da lista de URL permitidos na firewall do EBS, limite o acesso ao web tier a redes de confiança e analise os registos à procura de pedidos POST não autenticados para esse endereço. Estas medidas não dispensam o patch.
Um ataque a esta falha obriga a notificar as autoridades?
Depende. As entidades abrangidas pelo Regime Jurídico da Cibersegurança têm de notificar incidentes significativos ao CNCS. Se houver acesso a dados pessoais com risco para os titulares, a violação tem de ser comunicada à CNPD em 72 horas, nos termos do RGPD.
Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente por Horizon3.ai, NHS England Digital, Oracle, Defused e SecurityWeek.