Penyerang mulai menguji celah kritis di Oracle E-Business Suite (EBS) yang baru ditambal. Perusahaan intelijen ancaman Defused Cyber melaporkan bahwa umpan EBS miliknya mencatat percobaan eksploitasi terhadap CVE-2026-101767 pada 27 Oktober 2026, tujuh hari setelah Oracle merilis perbaikannya. Celah ini bernilai CVSS 9,8.
Apa yang diketahui tentang celahnya
Horizon3.ai menggambarkan CVE-2026-101767 sebagai SQL injection tanpa autentikasi di servlet Thin Client Framework pada komponen Application Object Library. Penyerang yang bisa menjangkau servlet itu lewat HTTP dapat menjalankan perintah SQL sebagai pengguna basis data APPS, dan menurut Horizon3.ai serta The Hacker News, rantai ini bisa berlanjut ke eksekusi kode jarak jauh. Versi terdampak adalah EBS 12.2.3 sampai 12.2.15.
Tiga peneliti Horizon3.ai, Brandon Peterson, Jimi Sebree, dan Noah King, menemukan celah ini dan melaporkannya ke Oracle pada 24 Juli 2026. Oracle memasukkan perbaikannya ke Critical Patch Update Oktober 2026 yang terbit 20 Oktober 2026. Defused Cyber menyebut yang terekam baru percobaan penjajakan. Sumber yang saya baca tidak melaporkan kompromi yang berhasil.
Lembaga pemindai Censys mencatat 2.246 properti web yang menjalankan EBS pada advisorinya tanggal 28 Oktober. Angka itu tidak bisa memastikan berapa yang memakai rilis terdampak atau sudah memasang patch, dan setiap kombinasi nama host serta port dihitung terpisah, sehingga jumlah host unik lebih kecil.
Langkah yang perlu diambil administrator
Pasang patch yang sesuai dari Critical Patch Update Oktober 2026. Kecocokan patch untuk tiap instalasi dijelaskan Oracle di My Oracle Support Note KA923. Jika patch belum bisa dipasang segera, Horizon3.ai menyarankan tiga hal: keluarkan jalur /OA_HTML/AppsTCFServer dari daftar izin URL firewall EBS, batasi akses ke lapisan web hanya dari jaringan tepercaya, dan pantau server aplikasi serta basis datanya. Langkah sementara ini mengurangi risiko, tetapi tidak menggantikan patch.
Tim keamanan juga perlu memeriksa tanda kompromi yang dipublikasikan Horizon3.ai. Di antaranya permintaan POST tanpa login ke servlet tersebut yang diikuti aktivitas basis data, pengintaian SQL tidak lama setelahnya, berkas tak dikenal di direktori $APPLPTMP, dan akun oracle yang memunculkan shell lewat Concurrent Manager.
Mengapa ini patut diwaspadai
EBS menyimpan data keuangan, SDM, dan rantai pasok di banyak perusahaan besar. Help Net Security mengingatkan bahwa kelompok Cl0p pernah memakai CVE-2025-61882 sebagai zero-day pada 2025 untuk mencuri data pelanggan EBS, dan pada Juni 2026 Defused melihat percobaan terhadap CVE-2026-46817 di modul Oracle Payments. Pola ini menunjukkan EBS sering dibidik begitu ada celah baru. Perusahaan Indonesia yang menjalankan EBS 12.2 sebaiknya menganggap jendela antara rilis patch dan serangan sudah menyempit, dan memeriksa dulu apakah halaman EBS mereka terbuka ke internet.
Sumber: Help Net Security, The Hacker News, dan Horizon3.ai. Gambar: The Hacker News.