La Agencia de Ciberseguridad de Estados Unidos (CISA) confirmó que una vulnerabilidad en el sistema Oracle E-Business Suite (EBS), parcheada a principios de este mes, fue explotada activamente. Decenas de clientes de Oracle han sido blanco de una campaña que incluyó el robo de datos de sus instancias de EBS.
Los ciberdelincuentes, posiblemente pertenecientes al grupo FIN11, robaron cantidades significativas de archivos e intentaron extorsionar a las víctimas. Los atacantes explotaron las vulnerabilidades de EBS para acceder a los datos, aunque Oracle y la comunidad de ciberseguridad aún no han compartido información definitiva sobre qué vulnerabilidades específicas se utilizaron.
Oracle indicó inicialmente que las vulnerabilidades parcheadas en julio estaban involucradas. Posteriormente anunció que una vulnerabilidad Zero-Day, identificada como CVE-2025-61882, también fue explotada en la campaña.
Unos días después, el 11 de octubre, Oracle anunció correcciones para otra vulnerabilidad, CVE-2025-61884, que puede explotarse de forma remota sin autenticación ni interacción del usuario para acceder a datos confidenciales. Sin embargo, el aviso no proporcionó ninguna indicación de que esta vulnerabilidad haya sido explotada en ataques.
CISA añadió CVE-2025-61884 a su catálogo de Vulnerabilidades Explotadas Conocidas (KEV), confirmando su explotación. Bleeping Computer informó que esta vulnerabilidad corresponde a un exploit PoC filtrado por Scattered Lapsus$ Hunter, una colaboración entre los grupos Scattered Spider y ShinyHunters.
Los investigadores de watchTowr Labs analizaron el exploit filtrado para CVE-2025-61884 y confirmaron que puede utilizarse para ejecutar código remoto no autenticado en servidores. Este exploit ataca primero el endpoint «/configurator/UiServlet» de Oracle EBS como parte de la cadena de ataque.
Ataques de ransomware
Los correos electrónicos de extorsión enviados a las víctimas están firmados por el grupo Cl0p, que ha ganado notoriedad en los últimos años, especialmente como resultado de campañas similares dirigidas a los productos de transferencia de archivos Cleo, MOVEit y Fortra mediante la explotación de vulnerabilidades de día cero.
Al momento de escribir este artículo, cuatro presuntas víctimas del ataque a Oracle EBS figuraban en el sitio web de la filtración del ransomware Cl0p: la Universidad de Harvard, American Airlines (filial Envoy Air), Schneider Electric, la Universidad de Witwatersrand de Sudáfrica y el gigante industrial Emerson.
CrowdStrike y Mandiant publicaron informes que revelaron una vulnerabilidad completamente diferente, que se cree que fue explotada por la banda de extorsión Clop en agosto de 2025. Esta vulnerabilidad ataca primero el punto final «/OA_HTML/SyncServlet».
No hubo cambios en la actualización de seguridad para corregir la vulnerabilidad explotada por la PoC de ShinyHunter, que figuraba como IOC para CVE-2025-61882. Por lo tanto, no está claro por qué Oracle la mencionó en el aviso.
Además, tras la corrección de CVE-2025-61882, clientes e investigadores informaron que las pruebas indican que al menos el componente SSRF del exploit filtrado seguía funcionando, incluso con los parches actuales instalados. Tras instalar la actualización de este fin de semana para CVE-2025-61884, estos mismos investigadores y clientes informaron que el componente SSRF ya está corregido.