A empresa de inteligência de ameaças Defused registrou em 27 de outubro de 2026 tentativas de exploração da CVE-2026-101767 contra iscas que simulam instalações do Oracle E-Business Suite. A falha tem nota 9,8 na escala CVSS 3.1, dispensa autenticação e foi corrigida pela Oracle sete dias antes, no pacote trimestral de correções críticas.
O problema está no componente central da Oracle Application Object Library e atinge as versões 12.2.3 a 12.2.15 do E-Business Suite. Trata-se de injeção de SQL no servlet do Thin Client Framework, alcançável por HTTP ou HTTPS sem credencial válida e sem interação do usuário, conforme o registro publicado pelo NVD em 20 de outubro.
A exploração encadeada vai além do banco de dados. A injeção executa comandos SQL com o usuário APPS, que concentra o acesso aos dados da aplicação, e esse acesso pode ser estendido para comandos no sistema operacional com a conta do próprio aplicativo. Na prática isso alcança registros financeiros, de folha de pagamento e de compras.
A falha foi reportada à Oracle pela Horizon3.ai em 24 de julho de 2026 e tratada em sigilo até o pacote de outubro. O intervalo entre a publicação da correção, em 20 de outubro, e o primeiro registro público de tentativa de exploração, em 27 de outubro, foi de uma semana.
A Defused classificou o tráfego observado como exploração exploratória, e o dado não confirma invasão bem-sucedida em ambiente de cliente. Nenhum outro relato público de exploração havia sido divulgado até 28 de outubro, e a CVE-2026-101767 não constava do catálogo de falhas exploradas da CISA na versão 2026.10.27.
O histórico do produto pesa na avaliação de risco. A CVE-2025-61882 e a CVE-2026-46817, ambas de nota 9,8 no mesmo E-Business Suite, foram exploradas em campanhas no último ano, e a primeira foi usada pelo grupo de extorsão Cl0p. O padrão de exposição se repete: servidor de ERP publicado na internet, com endereço alcançável sem autenticação.
A ação imediata é aplicar o pacote de outubro de 2026 nas instalações entre a 12.2.3 e a 12.2.15. Quem não consegue parar o ambiente agora pode remover o servlet da lista de permissões do firewall de URL do próprio E-Business Suite, que por padrão libera esse endereço, como recomenda a Horizon3.ai. Na detecção, o sinal a procurar é requisição POST sem autenticação invocando o GanttDataServer, seguida de consulta ao banco.
