Oracle E-Business Suite: ya buscan sistemas sin el parche de octubre

Qué ha pasado

La empresa de inteligencia de amenazas Defused ha detectado los primeros intentos de explotar una vulnerabilidad crítica de Oracle E-Business Suite (EBS), un software de gestión empresarial. El fallo se identifica como CVE-2026-101767 y tiene una puntuación de gravedad de 9,8 sobre 10. Oracle lo corrigió la semana pasada en su paquete trimestral de parches de octubre.

Según SecurityWeek, se trata de una inyección SQL en el componente Application Object Library. Un atacante sin usuario ni contraseña podría aprovecharla a distancia, a través de HTTP. Si lo consigue, podría ejecutar código en el sistema y hacerse con el control total de ese componente. Otro medio, The Hacker News, lo describe como un fallo de autenticación incorrecta, pero coincide en la gravedad, en el componente afectado y en que ya hay actividad.

Defused indica que sus sistemas señuelo (equipos preparados para atraer a atacantes) registraron los primeros intentos el 27 de octubre. Por ahora son sondeos exploratorios: alguien comprueba qué sistemas siguen sin parchear. El fallo lo descubrió y comunicó Horizon3.ai, y de momento no constan otros informes de explotación real.

El precedente pesa. En junio, Defused avisó de ataques contra otro fallo crítico de EBS, en el módulo de pagos. Y el año pasado el grupo Cl0p aprovechó vulnerabilidades de día cero de este mismo software para acceder a datos almacenados. Esa campaña pudo afectar a más de un centenar de organizaciones de sectores muy distintos.

Por qué le importa a tu empresa

Si tu empresa usa Oracle E-Business Suite, o lo usa un proveedor que trata datos tuyos, el margen para actuar se está acortando. Cuando un parche sale y aparecen sondeos a los pocos días, los sistemas sin actualizar pasan a ser objetivos fáciles.

Lo grave del fallo es que no hace falta tener credenciales y que puede dar control sobre el sistema. En un software que suele guardar información financiera y de clientes, eso implica un riesgo claro de fuga de datos. Y si hay datos personales de por medio, además del problema técnico aparece el de cumplimiento: una brecha puede obligar a notificar según el RGPD.

Mi opinión

No creo que haya que entrar en pánico. Los intentos son exploratorios y no hay constancia pública de ataques con éxito. Pero tampoco conviene esperar, porque la historia de EBS demuestra que sus fallos interesan a los atacantes y que algunos se han explotado a gran escala.

Muchas pymes no saben exactamente qué software corre en sus servidores, o delegan esa parte en un proveedor y se olvidan. Mi consejo es práctico: confirma si lo usáis, pregunta quién lo mantiene y pide una respuesta por escrito sobre el parche. Es una conversación de cinco minutos que puede ahorrar un disgusto muy grande. En XEVIA revisamos este tipo de exposiciones, pero lo primero es saber qué tienes.

Qué hacer hoy

• Averigua si usáis Oracle E-Business Suite, directamente o a través de algún proveedor que gestione vuestros datos.
• Comprueba que el parche de octubre de Oracle está aplicado. Si no lo está, que sea prioritario.
• Si no puedes parchear ya, limita el acceso desde internet al sistema hasta que se actualice.
• Revisa los registros de acceso web desde el 27 de octubre en busca de peticiones extrañas al sistema.
• Pide a tu proveedor informático una confirmación por escrito del estado de actualización.