Dalla fine di settembre i dirigenti di numerose aziende ricevono email di estorsione da un gruppo che si presenta come Cl0p. Il messaggio sostiene di aver rubato dati dai sistemi Oracle E-Business Suite (EBS), il gestionale con cui molte grandi organizzazioni tengono contabilità, acquisti, magazzino e risorse umane. A conferma, gli autori allegano elenchi di file reali delle vittime.
Se il nome ti suona familiare, è perché Cl0p ha già percorso questa strada più volte. Accellion nel 2020, GoAnywhere e MOVEit nel 2023, Cleo alla fine del 2024: ogni volta una falla in un software aziendale molto diffuso, un furto di dati silenzioso su larga scala, poi l’estorsione, senza bisogno di cifrare nulla.
Una falla nuova, non quella di luglio
All’inizio Oracle aveva indicato vulnerabilità già corrette negli aggiornamenti di luglio. Il 4 ottobre però ha pubblicato un avviso d’emergenza per una falla nuova, la CVE-2025-61882, con punteggio 9,8, nel componente Concurrent Processing, nella parte di integrazione con BI Publisher. Permette a un attaccante senza credenziali, con accesso di rete via HTTP, di eseguire codice sul server. Sono coinvolte le versioni da 12.2.3 a 12.2.14. Il giorno prima un altro gruppo criminale aveva diffuso pubblicamente quello che presentava come l’exploit usato, il che rende la falla accessibile a chiunque.
Secondo le prime analisi, gli attacchi sarebbero cominciati ad agosto, prima che esistesse una correzione, con attività sospette già a luglio. Le autorità statunitensi hanno aggiunto la falla all’elenco delle vulnerabilità sfruttate attivamente, segnalandone l’uso in campagne ransomware. Quante aziende siano state svuotate davvero, e quante abbiano ricevuto solo la minaccia, non è ancora chiaro.
Prima di installare la patch per la CVE-2025-61882 verifica di avere l’aggiornamento critico di ottobre 2023, che ne è il prerequisito. Poi chiediti perché le interfacce di EBS siano raggiungibili da Internet: se non c’è un motivo preciso, non dovrebbero esserlo.
Controlla gli indicatori di compromissione pubblicati da Oracle, in particolare le richieste anomale ai componenti di BI Publisher e le connessioni in uscita dal server verso indirizzi sconosciuti.
Se ricevi un’email di estorsione, non rispondere. Passala al team di risposta agli incidenti e verifica se i file elencati sono davvero tuoi: è il primo modo per capire se stai trattando con un ladro o con un bluff.
