Una falla in una enterprise application suite è oggetto dei primi tentativi di exploit
La enterprise application suite (EBS), una raccolta di applicazioni utilizzate per gestire operazioni e registri aziendali, è oggetto dei primi tentativi di exploit contro CVE-2026-101767, una vulnerabilità corretta di recente che può portare alla remote code execution, ossia consentire a un attaccante di eseguire comandi sull'host dell'applicazione interessata. La società di threat intelligence Defused Cyber ha dichiarato che, la mattina del 27 ottobre, i suoi sistemi esca hanno registrato tentativi esplorativi di sfruttamento, a pochi giorni dalla correzione della falla da parte del fornitore nel suo Critical Patch Update. L'attività dimostra che gli attaccanti stanno già mettendo alla prova i sistemi accessibili, sebbene i tentativi segnalati non dimostrino, da soli, che un ambiente cliente sia stato compromesso con successo.
La vulnerabilità interessa l'Application Object Library della enterprise application suite (EBS), una raccolta di applicazioni aziendali utilizzate per gestire i processi operativi. Ha una valutazione Common Vulnerability Scoring System (CVSS) pari a 9.8, che la colloca nella fascia critica. Il fornitore descrive la debolezza sottostante come improper authentication, ossia un'autenticazione inadeguata in cui un sistema non verifica correttamente se una richiesta debba essere consentita. Un team di ricerca di Horizon3.ai ha scoperto la falla e l'ha segnalata al fornitore il 24 luglio 2026.
Horizon3.ai ha identificato il problema tecnico come una SQL injection non autenticata nel servlet Thin Client Framework (TCF). SQL injection è una falla che consente a una richiesta appositamente costruita di interferire con i comandi inviati a un database, mentre un servlet è un componente di una web application che riceve ed elabora le richieste. Un attaccante in grado di raggiungere il componente vulnerabile all'indirizzo "/OA_HTML/AppsTCFServer" può inviare una richiesta appositamente formulata senza prima effettuare l'accesso. Tale richiesta può eseguire istruzioni sul database con i privilegi dell'utente APPS, un potente account EBS che ha accesso ai dati dell'applicazione.
I ricercatori hanno scoperto che l'accesso al database può essere concatenato all'esecuzione di comandi del sistema operativo. In questa sequenza, l'attaccante esegue prima istruzioni SQL come utente APPS e poi fa eseguire comandi tramite l'account dell'applicazione EBS sull'host. Uno sfruttamento riuscito potrebbe quindi consentire di leggere o modificare le informazioni accessibili ad APPS e di eseguire comandi sul sistema applicativo. Horizon3.ai ha affermato che i record esposti possono includere dati finanziari, relativi alle retribuzioni, alle risorse umane e agli approvvigionamenti, a seconda di come l'organizzazione ha implementato EBS. Le azioni sul sistema operativo disponibili a un attaccante sarebbero limitate dai permessi assegnati all'account dell'applicazione compromesso.
Le installazioni EBS esposte a Internet presentano il rischio più evidente, poiché gli attaccanti possono tentare di contattare direttamente il servlet vulnerabile. Un sistema ospitato internamente, tuttavia, non è automaticamente al sicuro. Horizon3.ai ha avvertito che un'implementazione interna può comunque essere raggiunta da una macchina precedentemente compromessa o da un altro segmento di rete autorizzato a connettersi al servlet. Per i team di hosting e IT, la questione pratica non è quindi soltanto se EBS sia accessibile pubblicamente, ma anche quali sistemi e reti possano inviare richieste al suo web tier.
Agli amministratori della enterprise application suite viene consigliato di installare quanto prima l'ultimo aggiornamento disponibile. Quando non è possibile applicare immediatamente la patch, Horizon3.ai raccomanda di rimuovere "/OA_HTML/AppsTCFServer", associato al componente SocketServer, dalla URL firewall allowlist di EBS. Una URL firewall allowlist specifica quali indirizzi web possono attraversare un controllo di filtraggio. Gli amministratori possono inoltre limitare il web tier di EBS alle reti attendibili e monitorare sia l'host dell'applicazione sia il relativo database alla ricerca di prove di sfruttamento. Queste misure riducono l'esposizione, ma non sostituiscono l'aggiornamento di sicurezza.
Horizon3.ai ha inoltre pubblicato diversi indicators of compromise, ossia segnali tecnici che possono rivelare un uso improprio tentato o riuscito. I responsabili della difesa dovrebbero cercare richieste POST non autenticate a "/OA_HTML/AppsTCFServer" che istanziano la classe data-server Gantt, nota come GanttDataServer, seguite da attività sul database. Altri segnali di allarme includono attività di ricognizione sul database poco dopo una richiesta web non autenticata, come query relative alla versione del database, all'utente corrente o agli oggetti directory. Anche la presenza di file inattesi in "$APPLPTMP" costituisce un indicatore, così come l'avvio di "/bin/sh" da parte dell'account dell'applicazione tramite il Concurrent Manager per eseguire comandi del sistema operativo.
I nuovi tentativi seguono lo sfruttamento attivo, avvenuto nell'ultimo anno, di altre due vulnerabilità critiche di EBS. CVE-2025-61882 e CVE-2026-46817 hanno entrambe un punteggio CVSS di 9.8. Il gruppo ransomware e di estorsione Cl0p ha utilizzato CVE-2025-61882, dimostrando perché le vulnerabilità EBS appena divulgate richiedano un intervento tempestivo da parte delle organizzazioni che conservano record operativi sensibili.
Le aziende che necessitano di un supporto più ampio per queste attività possono prendere in considerazione AEU-I, che offre servizi IT, infrastrutturali e di consulenza incentrati innanzitutto sulla sicurezza. Per le organizzazioni interessate, le priorità immediate restano l'applicazione dell'aggiornamento del fornitore, la riduzione dell'accesso al servlet vulnerabile e la verifica degli indicators of compromise elencati, senza presumere che un'implementazione interna sia irraggiungibile.