Peretas Mulai Uji Celah Kritis Oracle E-Business Suite CVSS 9,8, Sepekan setelah Patch Terbit

Patch resmi baru terbit sepekan lalu, tetapi bagi penyerang jam hitungnya sudah berjalan: celah di jantung sistem keuangan dan SDM banyak perusahaan itu kini mulai dijajal.

Perusahaan intelijen ancaman Defused Cyber mencatat upaya eksploitasi awal terhadap CVE-2026-101767 pada Selasa (27/10/2026), menurut laporan The Hacker News. Celah itu ada di Oracle E-Business Suite (EBS), bernilai CVSS 9,8 dari 10, dan sudah ditambal Oracle dalam Critical Patch Update (CPU) Oktober 2026. Defused Cyber menyebut aktivitas tersebut sebagai "exploratory exploits", yang diamati pada sistem umpan miliknya, bukan pembobolan terhadap korban nyata.

Injeksi SQL tanpa Login yang Berujung Eksekusi Perintah

Kerentanan berada di komponen Oracle Application Object Library. Peneliti Horizon3.ai menggambarkannya sebagai injeksi SQL (SQL injection, penyisipan perintah basis data lewat input web) tanpa autentikasi pada servlet Thin Client Framework di alamat /OA_HTML/AppsTCFServer. Menurut advisori Horizon3.ai, penyerang bisa menjalankan SQL sebagai pengguna basis data APPS, lalu menjalankan perintah sistem operasi sebagai akun aplikasi EBS.

Deskripsi Oracle sendiri lebih singkat: penyerang tanpa autentikasi lewat HTTP dapat menyebabkan pengambilalihan Oracle Application Object Library. Oracle tidak merilis detail teknis.

Versi 12.2.3 sampai 12.2.15 Terdampak

Berdasarkan advisori Horizon3.ai, versi yang terdampak adalah EBS 12.2.3 hingga 12.2.15. Analisis Rescana menambahkan bahwa Oracle menduga rilis lebih lama juga terdampak, tetapi tidak diuji. Peneliti Horizon3.ai Brandon Peterson, Jimi Sebree, dan Noah King melaporkan temuan ini ke Oracle pada 24 Juli 2026. Patch dirilis dalam CPU Oktober pada 20 Oktober 2026, dengan rincian di My Oracle Support Note KA923.

Menurut Horizon3.ai, servlet tersebut secara bawaan diizinkan melewati URL firewall EBS, sehingga instalasi bawaan tidak memblokirnya. Oracle juga menyarankan administrator memperbarui komponen EBS Database dan Fusion Middleware dalam siklus patch yang sama.

Data yang berpotensi terpapar mencakup catatan keuangan, penggajian, SDM, dan pengadaan. Sistem internal juga berisiko bila penyerang bisa mencapai servlet tersebut dari perangkat atau segmen jaringan yang sudah disusupi.

Dua Laporan yang Tak Sepenuhnya Sejalan

Status eksploitasi masih berubah. Rescana per 21 Oktober belum menemukan laporan eksploitasi di dunia nyata maupun bukti konsep publik, dan celah itu belum masuk katalog Known Exploited Vulnerabilities milik Cybersecurity and Infrastructure Security Agency (CISA). Catatan Defused Cyber enam hari kemudian menunjukkan penyerang sudah mulai menguji. Belum ada laporan bahwa pengujian itu berujung pembobolan.

Konteksnya tidak ringan. The Hacker News mengingatkan dua celah EBS lain berskor 9,8 pernah dieksploitasi: CVE-2025-61882, yang dipakai kelompok ransomware dan pemerasan Cl0p, dan CVE-2026-46817. CPU yang sama menurut Rescana juga menambal CVE-2026-101809, celah Workflow berskor CVSS 10,0.

Langkah Mitigasi bagi Administrator

Prioritas utamanya memasang patch CPU Oktober. Bila itu tertunda, Horizon3.ai menyarankan mencabut /OA_HTML/AppsTCFServer dari daftar izin URL firewall EBS, membatasi akses web tier ke jaringan tepercaya, dan memantau server aplikasi serta basis data. Langkah ini disebut mengurangi paparan, bukan pengganti patch. Menurut Rescana, Oracle belum menerbitkan solusi sementara khusus untuk celah ini.

Tanda kompromi yang disebut Horizon3.ai antara lain permintaan POST tanpa autentikasi ke servlet tersebut diikuti aktivitas basis data, pengintaian SQL seperti pengecekan versi basis data, berkas tak dikenal di direktori $APPLPTMP, dan akun oracle yang memunculkan /bin/sh lewat Concurrent Manager.

Pertanyaan berikutnya, apakah CISA akan memasukkan CVE-2026-101767 ke katalog celah yang dieksploitasi, dan apakah bukti konsep publik muncul lebih dulu sebelum administrator sempat menambal. CompileDaily juga sebelumnya melaporkan dua celah kritis PHP2Shell yang mengancam server PHP.