Atacantes ya están sondeando internet en busca de instalaciones de Oracle E-Business Suite (EBS) que no aplicaron el parche de octubre. La falla, CVE-2026-101767, es una inyección SQL sin autenticación que puede encadenarse a ejecución remota de código. Oracle la corrigió el 20 de octubre y, hasta ahora, no la ha marcado como explotada, pero el escaneo es la señal clásica de que conviene parchar antes de que llegue la explotación masiva.
Oracle publicó el 20 de octubre de 2026 su Critical Patch Update (CPU) trimestral, que incluye la corrección de CVE-2026-101767 en el componente Application Object Library de EBS. Según el análisis de Rescana, que cita la matriz de riesgo de Oracle, la falla tiene CVSS 3.1 de 9.8, es explotable por red vía HTTP, sin autenticación ni interacción del usuario, y afecta las versiones soportadas 12.2.3 a 12.2.15. Oracle indica que versiones anteriores probablemente también son vulnerables, aunque no las prueba. No pudimos abrir directamente el aviso de Oracle, por lo que estos datos de versión y puntuación deben confirmarse en el CPU.
