Hacker Mulai Memindai Server Oracle E-Business Suite, Celah Kritis CVE-2026-101767 Berisiko Pengambilalihan Sistem
Pelaku ancaman siber mulai melakukan pemindaian dan percobaan eksploitasi terhadap server Oracle E-Business Suite (EBS) yang belum mendapatkan pembaruan keamanan untuk kerentanan kritis CVE-2026-101767.
Kerentanan tersebut memiliki skor CVSS 9.8 dari maksimum 10 dan memungkinkan penyerang tanpa autentikasi mengambil alih sistem Oracle E-Business Suite yang rentan melalui akses jaringan HTTP.
Oracle sebelumnya telah merilis patch keamanan pada 20 Oktober 2026 melalui pembaruan October 2026 Critical Patch Update (CPU). Namun, hanya berselang satu minggu setelah pembaruan tersedia, aktivitas mencurigakan mulai terdeteksi di internet.
Perusahaan threat intelligence Defused mengungkapkan bahwa sistem pemantauan mereka mencatat upaya eksploitasi terhadap CVE-2026-101767 pada 27 Oktober 2026.
Serangan tersebut menargetkan komponen Thin Client Framework (TCF) servlet dalam Oracle EBS dengan memanfaatkan kelemahan SQL injection yang berpotensi berkembang menjadi Remote Code Execution (RCE).
Sementara itu, organisasi keamanan Shadowserver mendeteksi lebih dari 670 instance Oracle E-Business Suite yang dapat diakses melalui internet, sebagian besar berada di Amerika Serikat.
Meski demikian, jumlah tersebut tidak menunjukkan berapa banyak server yang benar-benar rentan karena sebagian mungkin telah diperbarui atau merupakan sistem honeypot.
Celah CVE-2026-101767 Memiliki Skor CVSS 9.8
CVE-2026-101767 merupakan kerentanan keamanan pada komponen inti Oracle Application Object Library, salah satu bagian dari Oracle E-Business Suite.
Oracle EBS adalah kumpulan aplikasi bisnis enterprise yang digunakan organisasi untuk mengelola berbagai proses operasional, termasuk keuangan, sumber daya manusia, pengadaan, logistik, dan manajemen rantai pasokan.
Karena digunakan untuk menangani informasi bisnis penting, kerentanan pada platform tersebut dapat menimbulkan risiko besar bagi perusahaan.
Berdasarkan advisory resmi Oracle, CVE-2026-101767 memengaruhi Oracle E-Business Suite versi 12.2.3 hingga 12.2.15.
Kerentanan ini diklasifikasikan sebagai kritis dengan skor CVSS v3.1 sebesar 9.8.
Oracle menyatakan bahwa celah tersebut dapat dieksploitasi melalui protokol HTTP dengan tingkat kompleksitas serangan yang rendah.
Penyerang juga tidak membutuhkan akun pengguna atau hak akses administratif untuk mencoba mengeksploitasinya.
Selain itu, eksploitasi tidak memerlukan interaksi dari pengguna yang menjadi korban.
Kombinasi karakteristik tersebut membuat CVE-2026-101767 berbahaya, terutama pada instalasi Oracle EBS yang dapat diakses langsung melalui internet.
Jika eksploitasi berhasil, penyerang berpotensi mengambil alih komponen Oracle Application Object Library yang terdampak.
Dalam skenario tertentu, dampaknya dapat berkembang menjadi kompromi terhadap sistem aplikasi dan data yang dikelola Oracle EBS.
Kerentanan SQL Injection Bisa Berkembang Menjadi Remote Code Execution
Penelitian teknis terhadap CVE-2026-101767 dilakukan oleh tim keamanan Horizon3.ai, yang mengidentifikasi kelemahan pada komponen Thin Client Framework servlet.
Komponen tersebut digunakan dalam infrastruktur aplikasi Oracle E-Business Suite untuk menangani fungsi tertentu melalui antarmuka web.
Menurut analisis Horizon3.ai, kelemahan ini memungkinkan penyerang mengirimkan request HTTP yang telah dimodifikasi untuk menjalankan perintah SQL tanpa melalui autentikasi.
Teknik tersebut dikenal sebagai SQL injection, yakni metode serangan yang memanfaatkan kelemahan dalam pemrosesan input aplikasi untuk menyisipkan instruksi SQL yang tidak semestinya dijalankan.
Dalam implementasi yang rentan, perintah SQL dapat dieksekusi menggunakan hak akses akun database APPS.
Akun tersebut memiliki peran penting dalam lingkungan Oracle E-Business Suite karena digunakan oleh berbagai komponen aplikasi untuk mengakses database.
Jika penyerang berhasil menjalankan instruksi SQL dengan hak akses tinggi, dampaknya dapat mencakup akses tidak sah terhadap informasi bisnis maupun perubahan data.
Lebih jauh, Horizon3.ai menemukan bahwa kelemahan tersebut dapat dirangkai dengan mekanisme lain untuk mencapai eksekusi perintah pada sistem operasi.
Dalam skenario ini, penyerang berpotensi menjalankan kode menggunakan akun aplikasi Oracle EBS.
Kemampuan tersebut dapat membuka peluang untuk melakukan aktivitas lanjutan setelah kompromi awal, bergantung pada konfigurasi dan hak akses yang tersedia pada server.
Namun, keberhasilan SQL injection tidak selalu berarti penyerang telah memperoleh kendali penuh atas seluruh infrastruktur perusahaan.
Dampak aktual bergantung pada hak akses proses, konfigurasi aplikasi, segmentasi jaringan, serta mekanisme keamanan tambahan yang diterapkan organisasi.
Defused Temukan Percobaan Eksploitasi pada 27 Oktober 2026
Aktivitas eksploitasi terhadap CVE-2026-101767 mulai terdeteksi tidak lama setelah Oracle menerbitkan pembaruan keamanannya.
Pada Selasa, 27 Oktober 2026, perusahaan threat intelligence Defused melaporkan bahwa sistem decoy mereka yang menyerupai instalasi Oracle E-Business Suite menerima aktivitas eksploitasi awal.
Sistem decoy atau honeypot digunakan untuk mengamati perilaku penyerang dengan menyediakan lingkungan yang menyerupai target sebenarnya.
Menurut Defused, aktivitas tersebut menunjukkan adanya percobaan memanfaatkan kerentanan SQL injection tanpa autentikasi pada Thin Client Framework.
Peneliti juga mengidentifikasi upaya yang berkaitan dengan kemungkinan eksploitasi lanjutan menuju Remote Code Execution.
Temuan ini penting karena menunjukkan bahwa pelaku ancaman telah mulai menggunakan informasi teknis CVE-2026-101767 untuk mencari sistem yang dapat diserang.
Namun, percobaan eksploitasi yang tercatat pada honeypot tidak sama dengan konfirmasi bahwa server produksi milik organisasi tertentu telah berhasil diretas.
Hingga laporan tersebut diterbitkan, belum tersedia informasi publik yang memastikan jumlah organisasi yang berhasil dikompromikan melalui CVE-2026-101767.
Oracle juga belum secara resmi mengklasifikasikan kerentanan tersebut sebagai celah yang telah dikonfirmasi dieksploitasi dalam serangan nyata.
Meski demikian, aktivitas pemindaian dan percobaan eksploitasi sudah cukup menjadi alasan bagi administrator untuk segera menutup celah tersebut.
Shadowserver Temukan Lebih dari 670 Oracle EBS Terbuka di Internet
Selain laporan dari Defused, Shadowserver Foundation turut memberikan gambaran mengenai potensi permukaan serangan terhadap Oracle E-Business Suite.
Melalui sistem pemantauan internet, Shadowserver mendeteksi lebih dari 670 instance Oracle EBS yang dapat diakses dari jaringan publik.
Sebagian besar alamat IP yang teridentifikasi berada di Amerika Serikat.
Temuan tersebut memperlihatkan bahwa masih terdapat sejumlah organisasi yang mengekspos layanan Oracle EBS melalui internet.
Paparan seperti ini dapat meningkatkan risiko apabila aplikasi memiliki kerentanan yang memungkinkan eksploitasi dari jarak jauh.
Namun, perlu dibedakan antara server yang terdeteksi menggunakan Oracle EBS dengan server yang benar-benar rentan terhadap CVE-2026-101767.
Data Shadowserver tidak menunjukkan secara pasti versi software maupun status pembaruan keamanan setiap instance yang terdeteksi.
Sebagian sistem mungkin telah menggunakan patch terbaru, sementara sebagian lainnya bisa merupakan lingkungan pengujian atau honeypot.
Karena itu, jumlah lebih dari 670 instance tidak dapat langsung ditafsirkan sebagai jumlah server yang dapat dieksploitasi.
Meski demikian, data tersebut tetap relevan untuk menunjukkan besarnya permukaan serangan potensial pada infrastruktur Oracle EBS yang terhubung ke internet.
Oracle Rilis Patch pada 20 Oktober 2026
Oracle telah menyediakan perbaikan untuk CVE-2026-101767 melalui October 2026 Critical Patch Update yang diterbitkan pada 20 Oktober 2026.
Pembaruan tersebut merupakan bagian dari program patch keamanan berkala Oracle untuk menangani berbagai kerentanan pada produk perusahaan.
Dalam rilis Oktober 2026, Oracle menyediakan 1.295 patch keamanan baru di berbagai keluarga produknya.
Khusus Oracle E-Business Suite, pembaruan tersebut mencakup 194 patch keamanan.
Dari jumlah itu, Oracle mengidentifikasi 31 kerentanan yang berpotensi dieksploitasi dari jarak jauh tanpa membutuhkan autentikasi.
CVE-2026-101767 menjadi salah satu kerentanan yang memiliki tingkat risiko tertinggi dalam pembaruan tersebut.
Oracle mencatat bahwa kerentanan ini berdampak pada komponen Core dari Oracle Application Object Library dan memerlukan perhatian segera.
Perusahaan juga mengingatkan pelanggan untuk tetap menggunakan versi software yang masih mendapatkan dukungan keamanan resmi.
Dalam advisory-nya, Oracle menyatakan bahwa pihaknya secara berkala menerima laporan mengenai percobaan eksploitasi terhadap kerentanan yang sebenarnya sudah memiliki patch.
Pada sejumlah kasus, serangan berhasil karena organisasi yang menjadi target belum memasang pembaruan keamanan yang tersedia.
Karena itu, Oracle kembali menekankan pentingnya penerapan patch tanpa penundaan yang tidak diperlukan.
Oracle EBS Menjadi Target Menarik bagi Kelompok Kejahatan Siber
Oracle E-Business Suite banyak digunakan dalam lingkungan enterprise karena mampu mengintegrasikan berbagai proses bisnis pada satu platform.
Sistem tersebut sering kali menyimpan atau memproses informasi yang sensitif, termasuk data keuangan, dokumen pengadaan, informasi pegawai, serta catatan operasional perusahaan.
Karena itu, akses tidak sah terhadap Oracle EBS dapat memberikan keuntungan besar bagi kelompok penyerang.
Bagi pelaku pemerasan siber, sistem enterprise yang terkompromi berpotensi menjadi sumber informasi bernilai tinggi.
Data yang berhasil dicuri dapat digunakan untuk melakukan pemerasan, penipuan, atau aktivitas kejahatan lainnya.
Selain pencurian data, kompromi terhadap aplikasi bisnis juga dapat mengganggu aktivitas operasional organisasi.
Misalnya, gangguan pada sistem pengadaan atau keuangan dapat memengaruhi proses bisnis yang bergantung pada ketersediaan aplikasi tersebut.
Risiko semakin besar apabila server Oracle EBS memiliki konektivitas ke sistem internal lainnya tanpa pembatasan akses yang memadai.
Dalam kondisi demikian, keberhasilan kompromi pada satu aplikasi dapat membuka kemungkinan pergerakan penyerang menuju sistem lain di jaringan.
Kasus Clop pada 2025 Tunjukkan Risiko Eksploitasi Oracle EBS
Ancaman terhadap Oracle E-Business Suite bukan merupakan fenomena baru.
Pada 2025, kelompok pemerasan Clop dilaporkan mengeksploitasi kerentanan zero-day Oracle EBS yang dilacak sebagai CVE-2025-61882.
Serangan tersebut digunakan untuk mencuri informasi dari berbagai organisasi besar.
Sejumlah perusahaan dan institusi yang dikaitkan dengan insiden tersebut mencakup Logitech, GlobalLogic, dan The Washington Post.
Beberapa universitas di Amerika Serikat juga menjadi bagian dari rangkaian laporan insiden yang berkaitan dengan eksploitasi Oracle EBS.
Di antaranya adalah Harvard University, University of Pennsylvania, Dartmouth College, dan University of Phoenix.
Kasus tersebut memperlihatkan bagaimana satu kerentanan pada platform enterprise dapat dimanfaatkan untuk menyerang banyak organisasi dalam waktu relatif berdekatan.
Kelompok Clop dikenal menggunakan pendekatan pemerasan berbasis pencurian data, bukan selalu mengandalkan enkripsi ransomware.
Dalam model tersebut, pelaku berusaha memperoleh informasi sensitif sebelum menghubungi organisasi korban untuk meminta pembayaran.
Ancaman publikasi data kemudian digunakan sebagai alat tekanan apabila tuntutan tidak dipenuhi.
Meskipun CVE-2025-61882 berbeda dari CVE-2026-101767, insiden sebelumnya menjadi contoh konsekuensi yang mungkin timbul jika kerentanan Oracle EBS tidak segera ditangani.
Belum ada bukti publik yang menunjukkan bahwa kelompok Clop merupakan pihak yang melakukan pemindaian terhadap CVE-2026-101767.
Oracle PeopleSoft Juga Pernah Dieksploitasi Kelompok ShinyHunters
Selain Oracle E-Business Suite, produk enterprise Oracle lainnya juga pernah menjadi sasaran serangan.
Pada Juni 2026, Oracle merilis mitigasi darurat untuk kerentanan zero-day pada PeopleSoft Suite yang dilacak sebagai CVE-2026-35273.
Kerentanan tersebut dilaporkan dimanfaatkan oleh kelompok ShinyHunters dalam serangan pencurian data terhadap berbagai organisasi.
Menurut laporan investigasi, aktivitas eksploitasi berlangsung antara 27 Mei hingga 9 Juni 2026.
Pelaku memanfaatkan kelemahan yang memungkinkan eksekusi kode dari jarak jauh tanpa autentikasi untuk memperoleh akses terhadap sistem korban.
Beberapa organisasi yang dikaitkan dengan rangkaian serangan tersebut termasuk University of Nottingham, Nissan, serta National Association of Insurance Commissioners (NAIC).
Kasus PeopleSoft menunjukkan bahwa pelaku ancaman terus mencari kerentanan pada aplikasi enterprise yang digunakan untuk menangani informasi penting.
Namun, serangan terhadap PeopleSoft tersebut merupakan insiden terpisah dan tidak boleh dianggap sebagai bukti adanya keterlibatan ShinyHunters dalam aktivitas pemindaian CVE-2026-101767.
Puluhan Kerentanan Oracle Pernah Masuk Daftar Eksploitasi CISA
Oracle juga memiliki riwayat kerentanan yang tercatat dalam katalog Known Exploited Vulnerabilities (KEV) milik Cybersecurity and Infrastructure Security Agency (CISA) Amerika Serikat.
Sejak November 2021, CISA telah menambahkan 46 kerentanan keamanan produk Oracle ke dalam katalog tersebut berdasarkan data yang dikutip dalam laporan keamanan terbaru.
Sebanyak 13 di antaranya juga diketahui pernah disalahgunakan dalam serangan ransomware.
KEV merupakan daftar kerentanan yang telah memiliki bukti eksploitasi nyata dan digunakan untuk membantu organisasi memprioritaskan pembaruan keamanan.
Namun, perlu ditekankan bahwa CVE-2026-101767 belum dinyatakan masuk katalog KEV dalam laporan mengenai aktivitas pemindaian pada 28 Oktober 2026.
Aktivitas eksploitasi yang diamati oleh peneliti keamanan dan penetapan status eksploitasi dalam katalog resmi CISA merupakan dua hal yang berbeda.
Meski demikian, riwayat serangan terhadap produk Oracle memperlihatkan bahwa kerentanan pada aplikasi enterprise sering menjadi target menarik bagi pelaku kejahatan siber.
Administrator Oracle EBS Disarankan Segera Memasang Patch
Dengan adanya laporan percobaan eksploitasi, organisasi yang menggunakan Oracle E-Business Suite perlu memprioritaskan pembaruan keamanan.
Langkah utama adalah mengidentifikasi seluruh instalasi Oracle EBS, terutama yang menjalankan versi 12.2.3 hingga 12.2.15.
Administrator kemudian perlu memastikan apakah patch dari October 2026 Critical Patch Update telah diterapkan.
Oracle menyediakan informasi patch melalui dokumentasi resmi dan portal My Oracle Support.
Untuk lingkungan EBS Release 12, petunjuk pembaruan tersedia dalam dokumen Oracle E-Business Suite Release 12 Critical Patch Update Knowledge Document (October 2026), yang dirujuk melalui My Oracle Support Note KA923.
Selain memperbarui Oracle EBS, administrator juga perlu memeriksa versi Oracle Database dan Oracle Fusion Middleware yang digunakan.
Oracle mengingatkan bahwa kerentanan pada kedua komponen tersebut dapat berdampak pada lingkungan E-Business Suite, meskipun tidak selalu tercantum dalam risk matrix EBS yang sama.
Karena itu, pembaruan keamanan sebaiknya dilakukan berdasarkan inventaris seluruh komponen Oracle yang terpasang.
Sebelum menerapkan patch pada sistem produksi, organisasi juga perlu memastikan ketersediaan backup yang valid serta menjalankan prosedur pengujian kompatibilitas sesuai kebijakan operasional.
Namun, kebutuhan pengujian tidak seharusnya menyebabkan penundaan yang berkepanjangan ketika kerentanan telah menunjukkan aktivitas eksploitasi.
Batasi Akses Internet dan Periksa Aktivitas Mencurigakan
Selain pemasangan patch, organisasi dapat mengurangi risiko dengan membatasi akses terhadap Oracle EBS dari jaringan yang tidak diperlukan.
Aplikasi enterprise yang tidak membutuhkan akses langsung dari internet sebaiknya ditempatkan di belakang mekanisme kontrol akses seperti VPN, reverse proxy dengan autentikasi, atau segmentasi jaringan yang sesuai.
Untuk sistem yang harus tetap dapat diakses melalui internet, administrator perlu meninjau konfigurasi firewall aplikasi dan membatasi endpoint yang tidak diperlukan.
Penelitian terhadap CVE-2026-101767 secara khusus mengidentifikasi Thin Client Framework servlet sebagai komponen yang terdampak.
Horizon3.ai menyarankan pembatasan akses terhadap endpoint TCF yang rentan sebagai mitigasi sementara apabila patch belum dapat diterapkan.
Namun, pembatasan tersebut perlu disesuaikan dengan kebutuhan aplikasi dan harus diuji agar tidak mengganggu fungsi bisnis yang digunakan organisasi.
Mitigasi pada tingkat firewall juga bukan pengganti pembaruan keamanan resmi.
Administrator disarankan memeriksa log akses web untuk mengidentifikasi request mencurigakan yang menargetkan komponen terkait.
Aktivitas database yang tidak biasa, eksekusi proses sistem operasi yang tidak diharapkan, serta keberadaan file mencurigakan pada direktori sementara aplikasi juga perlu diperhatikan.
Untuk sistem yang sebelumnya terekspos ke internet dan belum diperbarui, organisasi sebaiknya melakukan pemeriksaan kemungkinan kompromi, bukan hanya memasang patch.
Hal ini penting karena patch dapat menutup kerentanan, tetapi tidak secara otomatis menghapus malware atau akses tidak sah yang mungkin sudah dibuat penyerang sebelum pembaruan.
Pemindaian Aktif Jadi Peringatan bagi Pengguna Oracle EBS
Munculnya aktivitas eksploitasi CVE-2026-101767 hanya satu minggu setelah Oracle merilis patch menunjukkan betapa cepatnya pelaku ancaman dapat memanfaatkan informasi mengenai kerentanan baru.
Dengan skor CVSS 9.8, kemampuan eksploitasi tanpa autentikasi, serta kemungkinan pengambilalihan sistem, celah ini menimbulkan risiko serius bagi organisasi yang masih menggunakan instalasi rentan.
Temuan Defused mengonfirmasi adanya percobaan eksploitasi terhadap sistem decoy, sementara data Shadowserver menunjukkan masih terdapat ratusan instance Oracle EBS yang dapat dijangkau melalui internet.
Namun, kedua temuan tersebut belum membuktikan adanya ratusan server rentan atau keberhasilan kompromi pada organisasi tertentu.
Meski demikian, kombinasi kerentanan kritis dan aktivitas eksploitasi awal cukup menjadi dasar untuk mempercepat tindakan pengamanan.
Oracle telah menyediakan patch melalui October 2026 Critical Patch Update, sehingga langkah terpenting saat ini adalah memastikan pembaruan tersebut benar-benar telah diterapkan pada seluruh instalasi yang terdampak.
Bagi perusahaan yang mengandalkan Oracle EBS untuk aktivitas keuangan, sumber daya manusia, maupun pengelolaan operasional, perlindungan sistem tersebut menjadi bagian penting dari upaya menjaga keamanan data dan kelangsungan bisnis.
Kasus CVE-2026-101767 juga kembali menunjukkan bahwa keterlambatan memasang patch pada aplikasi enterprise dapat membuka peluang serangan, bahkan ketika perbaikan keamanan sudah tersedia dari vendor.
Sumber: Oracle — Oracle Critical Patch Update Advisory – October 2026
