In questo articolo Indice dei contenuti 2 sezioni
Gli attacchi informatici contro Oracle E Business Suite sono già cominciati. Diversi criminali stanno scandagliando la rete alla ricerca di sistemi ancora esposti a una vulnerabilità critica resa nota da poco, e lo fanno a pochi giorni dal rilascio della correzione ufficiale. Il difetto si trova in un componente centrale della Application Object Library della piattaforma EBS e permette di prendere il controllo dei server vulnerabili senza bisogno di autenticarsi. Basta un accesso di rete tramite HTTP e l’attacco, tra l’altro, non richiede particolari competenze.
Una falla grave e una patch da installare subito
La falla è tracciata con il codice CVE 2026 101767 e Oracle l’ha corretta il 20 ottobre con il suo Critical Security Patch Update di ottobre 2026. Insieme agli aggiornamenti è arrivato un invito piuttosto netto ai clienti, cioè applicare le patch immediatamente. L’azienda ha spiegato che in alcuni casi gli attaccanti sono riusciti nel loro intento proprio perché le organizzazioni prese di mira non avevano installato le correzioni già disponibili. Da qui la raccomandazione di restare su versioni ancora supportate e di aggiornare i sistemi senza perdere tempo.
Oracle per ora non ha classificato il bug come sfruttato attivamente. Eppure la società di threat intelligence Defused ha segnalato martedì di aver già individuato soggetti malevoli impegnati a cercare in rete i sistemi vulnerabili. Le sue esche, quei finti server EBS predisposti apposta per attirare gli aggressori, hanno registrato nella mattinata del 27 ottobre tentativi esplorativi di sfruttamento. Secondo l’azienda si tratta di una SQL injection non autenticata che colpisce il servlet Thin Client Framework della suite e che può essere concatenata fino a ottenere l’esecuzione di codice da remoto. Detto in parole semplici, chi attacca potrebbe arrivare a far girare i propri comandi sulla macchina della vittima.
Quanto alla superficie esposta, l’organizzazione di monitoraggio Shadowserver conta oltre 670 istanze di Oracle EBS raggiungibili da internet, gran parte delle quali con indirizzi IP statunitensi. Il dato va comunque preso con cautela perché non chiarisce quante di queste siano honeypot né quante siano già state messe in sicurezza contro la nuova falla.
Perché i prodotti Oracle sono un bersaglio così ambito
Non è un caso che i criminali puntino con tanta insistenza sulle vulnerabilità Oracle. I software dell’azienda americana girano nelle reti di molte grandi aziende della classifica Fortune 100, di enti governativi e di strutture sanitarie in tutto il mondo. Un varco in questi sistemi significa quindi accedere a infrastrutture aziendali di altissimo valore.
I precedenti recenti non mancano. Da inizio agosto 2025 la gang Clop, specializzata in estorsioni, ha sfruttato un’altra falla di Oracle EBS, la CVE 2025 61882, in attacchi zero day contro vittime di primo piano. Tra queste figurano Logitech, GlobalLogic e il Washington Post, oltre a diverse università americane come Harvard University, la University of Pennsylvania, il Dartmouth College e la University of Phoenix.
Più di recente, a giugno, Oracle ha dovuto rilasciare mitigazioni d’emergenza per una vulnerabilità zero day critica nella PeopleSoft Suite, identificata come CVE 2026 35273. A sfruttarla è stato il gruppo estorsivo ShinyHunters tra il 27 maggio e il 9 giugno. Approfittando del difetto, gli aggressori sono riusciti a eseguire codice da remoto senza autenticazione e hanno sottratto dati a numerose organizzazioni nel mondo, tra cui la Nottingham University, Nissan e la National Association of Insurance Commissioners.
I numeri dell’agenzia americana CISA danno l’idea della portata del fenomeno. Da novembre 2021 l’ente ha inserito 46 bug di sicurezza Oracle nel proprio elenco delle vulnerabilità sfruttate attivamente e 13 di questi sono stati usati anche in attacchi ransomware.
Fonte: TecnoAndroid