Oracle ha emitido una alerta de seguridad crítica tras descubrir una vulnerabilidad de día cero en E-Business Suite (EBS), identificada como CVE-2025-61882, que permite la ejecución remota de código sin autenticación. El fallo, con una puntuación CVSS de 9,8/10, ya está siendo explotado activamente por el grupo cibercriminal Cl0p en ataques de robo de datos.
Detalles del fallo
La vulnerabilidad se encuentra en el componente BI Publisher Integration del módulo Oracle Concurrent Processing. Su explotación no requiere credenciales válidas, lo que permite a un atacante tomar el control del sistema afectado de manera remota.
Oracle confirmó que las versiones vulnerables abarcan desde EBS 12.2.3 hasta 12.2.14.
Durante los ataques observados, los delincuentes utilizan un exploit público que abre una shell inversa lo que les otorgaba la capacidad de ejecutar instrucciones directamente en el servidor comprometido.
Explotación activa y grupos implicados
El grupo Cl0p, conocido por explotar vulnerabilidades de día cero en software empresarial, ha aprovechado esta falla en campañas recientes. Según Mandiant (Google Cloud), el exploit fue empleado para comprometer entornos corporativos y exfiltrar información sensible durante agosto de 2025.
También se detectó la publicación de un archivo en Telegram por el grupo Scattered Lapsus$ Hunters, que contenía los scripts del exploit (exp.py y server.py) y fragmentos del código fuente de Oracle. Oracle confirmó que este material coincide con los indicadores de compromiso observados.
Actualización y mitigaciones
Oracle ha liberado una actualización de emergencia fuera de ciclo, aunque su instalación requiere previamente el paquete de parches de octubre de 2023.
La compañía recomienda aplicar de inmediato el parche y revisar los sistemas en busca de signos de intrusión. Entre los indicadores de ataque se incluyen las direcciones IP 200.107.207.26 y 185.181.60.11.
Recomendaciones
- Actualizar urgentemente E-Business Suite con el parche de Oracle.
- Restringir el acceso externo a los servidores EBS hasta completar la actualización.
- Implementar monitoreo de integridad y tráfico para detectar actividad anómala.
- Revisar los logs y sistemas en busca de conexiones sospechosas o shells inversas.
- Si se detectan signos de compromiso, aislar el sistema y realizar análisis forense.
Fuente: https://www.securitylab.lat/
