CVE-2025-61882criticalbajo ataqueransomwareCWE-287

CVE-2025-61882: fallo crítico en Oracle Concurrent Processing

Publicada el · Actualizada el

100Vexday Risk Score

Corrige ahora. Ella está bajo explotación confirmada por CISA, tiene exploit funcional público y 1 grupo(s) de amenaza la utilizan.

ssvc Actcvss 9.8epss 100%
de la publicación al arma1 días
Publicada en NVD5 oct
1ª PoC+1d
metasploit4 oct
CISA KEV+1d
víctimas20 jul
probabilidad de explotación
100%top 1% de las CVE
explotación observada
síCISA + VulnCheck
1 grupo(s)10 exploit(s) público(s)
Apareció en 1 incidente(s) que verificamos
Estée Lauder
Quién la explota — 1

Grupos conocidos por explotar esta vulnerabilidad (atribución MITRE ATT&CK).

Ransomwareclop Vexday
Acción exigida por CISAplazo federal: 2025-10-27

Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.

En resumen

Un atacante sin autenticación puede explotar remotamente el Oracle Concurrent Processing a través de internet para tomar control total del sistema. Esta es una falla crítica en las versiones 12.2.3-12.2.14 que no requiere condiciones especiales ni interacción del usuario.

Detalle técnico

Vulnerabilidad de autenticación impropia (CWE-287) en el componente BI Publisher Integration de Oracle E-Business Suite permite explotación remota vía HTTP sin autenticación previa y con baja complejidad de ataque. La explotación exitosa compromete completamente la confidencialidad, integridad y disponibilidad del sistema (CVSS 9.8).

Resumen generado y traducido por IA a partir de la descripción oficial.

El análisis completo de esta CVE está disponible en portugués →

Vulnerability in the Oracle Concurrent Processing product of Oracle E-Business Suite (component: BI Publisher Integration). Supported versions that are affected are 12.2.3-12.2.14. Easily exploitable vulnerability allows unauthenticated attacker with network access via HTTP to compromise Oracle Concurrent Processing. Successful attacks of this vulnerability can result in takeover of Oracle Concurrent Processing. CVSS 3.1 Base Score 9.8 (Confidentiality, Integrity and Availability impacts). CVSS Vector: (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H).
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Productos afectados
Oracle Corporation · Oracle Concurrent Processing
PoCs públicas encontradas — 10
githubgithub.com/George0Papasotiriou/CVE-2025-61882-Oracle-BI-Publisher-RCE★ 1githubgithub.com/Zhert-lab/CVE-2025-61882-CVE-2025-61884★ 0githubgithub.com/sid-203/Enterprise-Information-Security-Risk-Assessment-Oracle-E-Business-Suite-Case-Study★ 0githubgithub.com/NetVanguard-cmd/CVE-2025-61882★ 0githubgithub.com/MindflareX/CVE-2025-61882-POC★ 0vulncheckvulncheck.com/xdb/576048bf8df8no verificadovulncheckvulncheck.com/xdb/8db320d42361no verificadovulncheckvulncheck.com/xdb/1c3a7eaa6e6cno verificadovulncheckvulncheck.com/xdb/dcdb633f53a3no verificadovulncheckvulncheck.com/xdb/677bed287c2dno verificado
⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.
CVEs relacionadas — Oracle Concurrent Processing

En el mismo producto, de las más peligrosas a las menos.

CVE-2026-61051MEDIUMCVE-2026-61051EPSS 0.3%
Referencias
https://blogs.oracle.com/security/post/apply-july-2025-cpuhttps://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2025-61882https://www.crowdstrike.com/en-us/blog/crowdstrike-identifies-campaign-targeting-oracle-e-business-suite-zero-day-CVE-2025-61882/https://www.oracle.com/security-alerts/alert-cve-2025-61882.html