CNCS alerta para falha crítica no Oracle E-Business Suite que permite execução remota de comandos

O Centro Nacional de Cibersegurança (CNCS) emitiu um alerta para uma vulnerabilidade crítica no Oracle E-Business Suite (EBS) que pode permitir a um atacante remoto comprometer o sistema sem necessidade de autenticação ou interação do utilizador.

Identificada como CVE-2026-101767, a falha recebeu uma classificação de 9,8 em 10 na escala CVSS v3.1 e afeta o componente Oracle Application Object Library, integrado na plataforma de aplicações empresariais da Oracle.

A vulnerabilidade resulta de uma falha de injeção de SQL (SQLi) que permite executar instruções na base de dados com os privilégios da conta APPS. A cadeia de exploração pode ainda permitir a execução de comandos no sistema operativo com os privilégios da conta aplicacional do EBS.

Segundo o CNCS, a exploração bem-sucedida pode comprometer a confidencialidade, integridade e disponibilidade do sistema afetado.

Falha pode ser explorada remotamente sem autenticação

A CVE-2026-101767, também identificada como EUVD-2026-106168, encontra-se no servlet Thin Client Framework (TCF) do Oracle Application Object Library.

O componente vulnerável está acessível através do endereço /OA_HTML/AppsTCFServer e é implementado pela classe oracle.apps.fnd.tcf.SocketServer.

De acordo com o alerta, este endereço encontra-se permitido na configuração predefinida da URL firewall do Oracle E-Business Suite, aumentando a relevância da vulnerabilidade para instalações em que o serviço esteja acessível a partir de redes não fidedignas.

Um atacante pode explorar a falha através de um pedido HTTP ou HTTPS especialmente construído, sem necessitar de credenciais válidas ou de qualquer ação por parte de um utilizador legítimo.

O vetor de ataque apresenta baixa complexidade de exploração, segundo a classificação CVSS, e não exige pré-condições adicionais.

A exploração permite executar comandos SQL com os privilégios do utilizador de base de dados APPS, uma conta com permissões elevadas no ambiente Oracle E-Business Suite.

Numa fase posterior, a cadeia de ataque pode permitir a execução de comandos no sistema operativo com os privilégios da conta aplicacional do EBS.

O CNCS classifica como elevado o impacto potencial sobre a confidencialidade, integridade e disponibilidade da instalação vulnerável. A classificação não significa, contudo, que o atacante obtenha necessariamente privilégios root no sistema operativo.

Versões 12.2.3 a 12.2.15 estão afetadas

A vulnerabilidade afeta as versões 12.2.3 a 12.2.15, inclusive, do Oracle Application Object Library.

A Oracle disponibilizou uma correção no âmbito do Critical Patch Update de outubro de 2026, publicado a 20 de outubro. O CNCS recomenda que as organizações identifiquem os sistemas afetados e apliquem imediatamente os patches correspondentes à sua instalação.

Para determinar as atualizações necessárias, os administradores devem consultar a documentação de disponibilidade de correções do Oracle E-Business Suite, referida na nota KA923 do My Oracle Support.

A aplicação das atualizações é particularmente importante em ambientes empresariais que utilizam o EBS para suportar processos de gestão financeira, recursos humanos, compras e outras operações críticas.

CNCS recomenda restrições de acesso até à aplicação dos patches

Para os sistemas em que ainda não seja possível instalar as correções, o CNCS identifica medidas temporárias destinadas a reduzir a superfície de ataque.

Uma das recomendações consiste em remover o endereço /OA_HTML/AppsTCFServer da lista de permissões da URL firewall do EBS, impedindo o acesso ao servlet vulnerável através desse mecanismo.

O organismo aconselha igualmente a restringir o acesso à camada web da plataforma a redes de confiança, garantindo que a limitação abrange todos os caminhos de acesso provenientes de redes não fidedignas.

Estas medidas procuram dificultar a exploração remota da vulnerabilidade enquanto as organizações preparam a atualização dos sistemas. No entanto, não substituem a aplicação das correções de segurança disponibilizadas pela Oracle.

Monitorização deve abranger pedidos HTTP e atividade na base de dados

Além da instalação dos patches, o CNCS recomenda a análise dos registos de atividade para identificar eventuais tentativas de exploração.

Entre os indicadores a investigar encontram-se pedidos POST não autenticados dirigidos a /OA_HTML/AppsTCFServer que procurem instanciar a classe oracle.apps.jtf.gantt.server.GanttDataServer, especialmente quando seguidos de atividade na base de dados.

As equipas de segurança devem também procurar sinais de reconhecimento SQL após pedidos web não autenticados, incluindo consultas destinadas a identificar a versão da base de dados, o utilizador associado à sessão ou objetos de diretório.

O alerta recomenda ainda a verificação de ficheiros inesperados no diretório $APPLPTMP e de eventuais execuções de /bin/sh pela conta oracle através do Concurrent Manager.

A correlação destes elementos pode ajudar a identificar comportamentos compatíveis com a cadeia de exploração descrita, embora a presença isolada de um indicador não constitua necessariamente prova de comprometimento.

O alerta do CNCS não apresenta informação sobre ataques confirmados que explorem a CVE-2026-101767. Ainda assim, a possibilidade de exploração remota sem autenticação e o impacto potencial sobre sistemas empresariais críticos justificam, segundo o organismo, a aplicação imediata das correções e a revisão dos mecanismos de acesso e monitorização das instalações Oracle E-Business Suite.