Penyerang mulai menguji celah kritis di Oracle E-Business Suite (EBS) hanya tujuh hari setelah Oracle merilis tambalannya. Perusahaan intelijen ancaman Defused melaporkan bahwa jaring umpan EBS miliknya mencatat percobaan eksploitasi terhadap CVE-2026-101767 pada 27 Oktober 2026. Defused menyebut percobaan itu masih bersifat penjajakan.
Apa yang diketahui tentang celahnya
CVE-2026-101767 bernilai CVSS 9,8 dan berada di komponen Application Object Library. Menurut Help Net Security, celah ini memungkinkan SQL injection tanpa autentikasi lewat HTTP, yang dapat berujung pada eksekusi kode jarak jauh. Versi terdampak adalah EBS 12.2.3 sampai 12.2.15. The Hacker News dan BleepingComputer tidak mencantumkan rentang versi, jadi angka tersebut berasal dari satu sumber.
Tiga peneliti Horizon3.ai, yaitu Brandon Peterson, Jimi Sebree, dan Noah King, melaporkan celah ini ke Oracle pada 24 Juli. Oracle memperbaikinya dalam Critical Patch Update Oktober 2026 yang terbit pada 20 Oktober. Oracle belum menyatakan celah ini dieksploitasi di dunia nyata, dan Defused sendiri menyebut belum ada laporan publik soal serangan sebelumnya.
Soal jumlah sistem yang terbuka, angkanya berbeda antar sumber. Shadowserver melacak lebih dari 670 instance EBS yang terhubung ke internet, sebagian besar di Amerika Serikat. Censys mencatat 2.246 properti web yang menjalankan EBS, tetapi angka itu menghitung setiap nama host dan port secara terpisah. Keduanya tidak menjelaskan berapa yang sudah ditambal atau hanya umpan.
Mengapa tim TI perlu bergerak cepat
EBS sudah beberapa kali jadi sasaran. Geng ransomware Cl0p memakai CVE-2025-61882 sebagai zero-day pada 2025, dan Defused mendeteksi percobaan serangan terhadap CVE-2026-46817 di modul Oracle Payments pada Juni 2026. Perusahaan yang menjalankan EBS untuk keuangan, SDM, atau rantai pasok, termasuk korporasi di Indonesia, menyimpan data yang bernilai tinggi bagi pelaku pemerasan.
Langkah yang perlu diambil
Pasang patch Oktober 2026 secepatnya, dan pastikan EBS Anda masih berada di versi yang didukung Oracle. Bila patch belum bisa dipasang hari ini, Horizon3.ai menyarankan mengeluarkan servlet Thin Client Framework yang terkait dari daftar izin URL di firewall EBS. Batasi pula akses web tier hanya dari jaringan tepercaya. Sistem internal tetap berisiko jika penyerang sudah punya pijakan di jaringan.
Tim keamanan sebaiknya memeriksa host aplikasi dan basis data EBS untuk tanda kompromi. Horizon3.ai sudah menerbitkan indikator kompromi, dan Censys menyarankan meninjaunya pada instance yang terbuka ke internet dan belum ditambal. Karena percobaan pertama sudah muncul seminggu setelah patch, jendela waktu untuk menambal tanpa tekanan kemungkinan makin sempit.
Sumber: Help Net Security, The Hacker News, BleepingComputer. Gambar: The Hacker News.