Una vulnerabilità da 9,8 in Oracle E-Business Suite permette di eseguire codice da remoto senza credenziali. La patch c'è dal 20 ottobre, ma i primi tentativi di attacco sono già arrivati.
Quanto ci mette un attaccante a sfruttare una patch appena uscita? Nel caso di Oracle E-Business Suite circa una settimana. Il 20 ottobre Oracle ha corretto la CVE-2026-101767 nel suo aggiornamento trimestrale. Il 27 ottobre sono arrivati i primi tentativi di sfruttamento.
Cosa c'è di rotto
La falla si trova nell'Application Object Library, uno dei componenti di base di EBS, e più precisamente in un servlet del Thin Client Framework raggiungibile all'indirizzo /OA_HTML/AppsTCFServer. È una SQL injection: l'attaccante manda una richiesta costruita ad arte e il sistema la passa al database come se fosse un comando legittimo. Non serve un account e non serve che qualcuno clicchi qualcosa: basta una richiesta HTTP. Combinata con altri passaggi, porta all'esecuzione di codice sul server. Per questo il punteggio CVSS è 9,8 su 10.
Chi sta già provando
A segnalare i tentativi è stata Defused, una società di threat intelligence che gestisce delle esche: finti server Oracle EBS messi in rete apposta per osservare chi bussa. Si tratta per ora di tentativi esplorativi, e non risultano attacchi riusciti confermati. Il copione però è noto: prima si scansiona Internet per capire chi è vulnerabile, poi si colpisce. È esattamente quello che è successo nel 2025, quando il gruppo Cl0p sfruttò un'altra falla di EBS per rubare dati a decine di aziende e poi ricattarle.
Cosa fare
La correzione vera è il Critical Patch Update di ottobre 2026, insieme agli aggiornamenti dei componenti collegati (database e Fusion Middleware), che Oracle distribuisce come voci separate. Se aggiornare subito non è possibile, ci sono due misure ponte: togliere /OA_HTML/AppsTCFServer dalla lista degli URL consentiti dal firewall di EBS e limitare l'accesso al livello web dell'applicazione alle sole reti fidate. In pratica, l'ERP non dovrebbe rispondere a chiunque su Internet.
Fonte: Matrice Digitale
La tua azienda è pronta ad affrontare una minaccia come questa?
Richiedi una valutazione gratuita →
Un ERP raggiungibile da Internet mi fa sempre lo stesso effetto: come trovare la cassaforte dell'azienda montata vicino alla porta d'ingresso perché così il corriere fa prima. Di solito la ragione c'è ed è anche comprensibile. Fornitori che devono accedere al portale, agenti in giro, un'integrazione fatta di corsa anni fa e mai rivista. Il punto è che poi nessuno se lo ricorda più, e il servlet esposto resta lì finché qualcuno non lo trova con una scansione. Patchare EBS, poi, non è aggiornare un'app sul telefono. Servono finestre di manutenzione, test sulle personalizzazioni, il consulente Oracle che ha tempo la settimana dopo. Lo capisco, ed è un problema vero, non pigrizia. Ma proprio perché la patch richiede tempo, quel tempo va coperto con qualcosa.
Nei penetration test che faccio sul perimetro delle aziende, la sorpresa più frequente non è la vulnerabilità in sé: è scoprire che un servizio interno risponde dall'esterno e nessuno lo sapeva. Per questo, se in azienda c'è Oracle EBS, la cosa più sensata da fare oggi è verificare da una connessione esterna se /OA_HTML/AppsTCFServer risponde e, se sì, chiuderlo dal firewall prima ancora di pianificare la patch.