Oracle emitió el sábado una alerta de seguridad advirtiendo sobre una nueva falta de seguridad que afecta su E-Business Suite y que, según dijo, podría permitir el llegada no competente a datos confidenciales.
La vulnerabilidad, rastreada como CVE-2025-61884tiene una puntuación CVSS de 7,5, lo que indica una seriedad incorporación. Afecta a las versiones desde 12.2.3 hasta 12.2.14.
«Una vulnerabilidad fácilmente explotable permite que un atacante no autenticado con llegada a la red a través de HTTP comprometa Oracle Configurator», según una descripción de la falta en la Pulvínulo de datos franquista de vulnerabilidad (NVD) del NIST. «Los ataques exitosos a esta vulnerabilidad pueden resultar en un llegada no competente a datos críticos o un llegada completo a todos los datos accesibles de Oracle Configurator».
En una alerta independiente, Oracle dijo que la falta se puede explotar de forma remota sin requerir autenticación, por lo que es crucial que los usuarios apliquen la aggiornamento lo antaño posible. La empresa, sin incautación, no menciona su explotación en la naturaleza.
El director de seguridad de Oracle, Rob Duhart, señaló que la vulnerabilidad afecta a «algunas implementaciones» de E-Business Suite y que podría estilarse como pertrechos para permitir el llegada a capital sensibles.
El expansión se produce poco luego de que Google Threat Intelligence Group (GTIG) y Mandiant revelaran que docenas de organizaciones pueden haberse pasado afectadas tras la explotación de día cero de CVE-2025-61882 en el software E-Business Suite (EBS) de Oracle.
Se ha descubierto que los ataques aprovechan la vulnerabilidad para activar dos cadenas de carga útil diferentes, lo que elimina familias de malware como GOLDVEIN.JAVA, SAGEGIFT, SAGELEAF y SAGEWAVE.
Si admisiblemente el coloso tecnológico no atribuyó específicamente la actividad a un actor o género de amenazas específico, se cree que los atacantes están orquestados por un género de piratas informáticos vinculado al género de ransomware Cl0p.
