A Oracle divulgou um alerta de segurança urgente sobre uma vulnerabilidade crítica no Oracle E-Business Suite, identificada como CVE-2025-61882. A falha possui pontuação 9.8 na escala CVSS e pode ser explorada remotamente, sem necessidade de autenticação, permitindo que atacantes executem código malicioso nos sistemas afetados. Segundo a Oracle, a vulnerabilidade está relacionada à integração do módulo Concurrent Processing com o BI Publisher e pode ser explorada através do protocolo HTTP, afetando as versões 12.2.3 a 12.2.14 do E-Business Suite.
O ataque pode ser realizado apenas com acesso à rede, tornando o risco de exploração extremamente alto. A empresa informou que patches de correção já estão disponíveis e devem ser aplicados imediatamente. O pacote de atualização exige que o Critical Patch Update de outubro de 2023 esteja previamente instalado para que o novo patch funcione corretamente. O alerta também inclui indicadores de comprometimento (IOCs), entre eles endereços IP e arquivos maliciosos usados em tentativas de exploração ativa. Os registros sugerem que grupos cibercriminosos conhecidos, como Cl0p e Scattered Spider, podem estar testando provas de conceito (PoC) associadas a essa vulnerabilidade. Uma exploração bem-sucedida pode conceder controle total sobre o sistema afetado, permitindo o roubo de informações, manipulação de dados e interrupção de operações críticas.
Como o E-Business Suite é amplamente utilizado em ambientes corporativos e governamentais, o impacto potencial é considerado grave. A Oracle reforçou que apenas clientes com suporte ativo têm acesso às atualizações e recomenda que todas as organizações planejem migrações para versões suportadas. Sistemas desatualizados ou fora do ciclo de suporte oficial continuam expostos ao risco de ataque.
