Harvard pierwszą potwierdzoną ofiarą ataku z wykorzystaniem zero-day w Oracle E-Business Suite

Wprowadzenie do problemu / definicja luki

Harvard University potwierdził, że padł ofiarą kampanii cyberprzestępczej wymierzonej w system Oracle E-Business Suite (EBS), gdzie wykorzystano krytyczną podatność typu zero-day. Na stronie wycieku Cl0p opublikowano ponad 1 TB danych rzekomo wykradzionych z Harvardu, co czyni tę instytucję pierwszą oficjalnie potwierdzoną ofiarą głośnej fali ataków na EBS.

W skrócie

• Cel: środowiska Oracle E-Business Suite (12.2.x).
• Luka: CVE-2025-61882 – zdalna, bez uwierzytelniania, umożliwiająca RCE; wykorzystywana w atakach przed publikacją poprawek. Oracle wydał pilny alert bezpieczeństwa.
• Skala: według Google/Mandiant – dziesiątki organizacji objęte szeroko zakrojoną kampanią wymuszania okupu.
• Status Harvardu: uczelnia potwierdziła incydent i prowadzi dochodzenie; dotknięta ma być „ograniczona liczba podmiotów” powiązanych z niewielką jednostką administracyjną.
• Dalsze ryzyko: CISA dodała CVE-2025-61882 do katalogu KEV (aktywnie wykorzystywane luki) – natychmiastowe łatanie jest priorytetem.

Kontekst / historia / powiązania

Google Threat Intelligence i Mandiant od 29 września 2025 r. śledzą falę e-maili szantażowych kierowanych do kadry kierowniczej organizacji z informacją o kradzieży danych z EBS. Kampania była aktywna jeszcze przed udostępnieniem łat i – według badań – mogła rozpocząć się nawet kilka tygodni wcześniej. Przestępcy powołują się na markę Cl0p; obserwowane TTP wskazują na wyspecjalizowane grupy zajmujące się włamaniami do systemów pośrednich/ERP.

Analiza techniczna / szczegóły luki

CVE-2025-61882 (Oracle E-Business Suite)
Oracle opisuje podatność jako możliwą do wykorzystania zdalnie i bez uwierzytelnienia, potencjalnie prowadzącą do zdalnego wykonania kodu (RCE). Atak odbywa się „przez sieć” i nie wymaga konta w systemie, co znacznie ułatwia wyzyskanie przez skanery i botnety. Oracle opublikował dedykowany alert z instrukcjami łatania.

CVE-2025-61884 (Oracle EBS Runtime UI – ujawnienie informacji)
Równolegle Oracle wydał awaryjną poprawkę dla kolejnej luki w EBS (12.2.3–12.2.14), która może ułatwiać dostęp do wrażliwych zasobów (eskalacja skutków kradzieży danych/rekonesans). Obie luki razem zwiększają powierzchnię ataku i ułatwiają łańcuchy eksploatacji.

Dowód aktywnej eksploatacji (KEV)
Wpis CISA KEV dla CVE-2025-61882 formalnie potwierdza eksploatację „in the wild” i nakłada presję na szybkie wdrożenie poprawek przez instytucje publiczne i operatorów usług kluczowych.

Praktyczne konsekwencje / ryzyko

• Ryzyko masowej eksfiltracji danych ERP: moduły EBS (finanse, HR, łańcuch dostaw) zawierają dane wysoko wrażliwe; kompromitacja jednego komponentu może skutkować hurtową kradzieżą rekordów i dokumentów. Potwierdza to przypadek Harvardu (publikacja 1+ TB danych na stronie wycieku).
• Ryzyko wtórnych włamań: wyciek kont/kluczy integracyjnych z EBS może umożliwiać lateral movement do innych systemów (CRM/HR/finanse). Wnioski z analizy Google/Mandiant wskazują na charakter kampanii „data theft + extortion”.
• Ryzyko operacyjne: nawet krótkie okno między publikacją PoC (lub prywatnego exploita) a instalacją poprawek wystarcza do automatycznych skanów i przejęć serwerów EBS wystawionych do Internetu. CISA klasyfikuje tę lukę jako aktywnie wykorzystywaną.

Rekomendacje operacyjne / co zrobić teraz

1. Natychmiast patchować: zastosować poprawki z alertów Oracle dla CVE-2025-61882 i CVE-2025-61884 na wszystkich wspieranych wersjach EBS (12.2.3–12.2.14). Priorytet dla serwerów dostępnych z Internetu/VPN.
2. Izolacja i ekspozycja: ograniczyć publiczną ekspozycję EBS (WAF, IP allow-list, TLS mTLS, ZTNA), rozdzielić strefy zgodnie z zasadą najmniejszych uprawnień. (Wniosek na bazie charakterystyki luki—zdalna, bez uwierzytelnienia.)
3. Telemetria i hunting:
   • przejrzeć logi HTTP/Reverse Proxy pod kątem anomalii do końca lipca 2025 r. (GTIG raportuje wcześniejszą aktywność kampanii),
   • szukać masowych transferów, niespodziewanych jobów EBS/Concurrent Processing i nietypowych plików w katalogach aplikacyjnych.
4. IR i ocena wycieku: jeśli EBS był dostępny z Internetu, założyć kompromitację i przeprowadzić post-exfiltration IR (rotacja kluczy integracyjnych, wymuszenie SSO/MFA, przegląd ról, DLP). (Wniosek wynikający z potwierdzonej eksfiltracji danych w Harvardzie).
5. Zgodność i notyfikacje: sprawdzić obowiązki prawne (np. zgłoszenia naruszeń, informowanie partnerów), biorąc pod uwagę charakter danych ERP. (Rekomendacja ogólna wynikająca z klasy danych ujawnianych w tej kampanii).

Różnice / porównania z innymi przypadkami

W odróżnieniu od wcześniejszych fal wymuszeń na łańcuchu dostaw (np. kampanie wymierzone w MFT czy oprogramowanie backupowe), obecna kampania atakuje rdzeniowy system ERP (EBS), co bezpośrednio przekłada się na hurtowy dostęp do danych biznesowych. Również nietypowa jest szybka sekwencja dwóch alertów Oracle (RCE i ujawnienie informacji), co sugeruje intensywny rekonesans napastników i/lub odkrywanie kolejnych wektorów w tej samej powierzchni aplikacyjnej.

Podsumowanie / kluczowe wnioski

• Atak na Oracle EBS z wykorzystaniem CVE-2025-61882 ma charakter szerokiej kampanii; Harvard to pierwsza publicznie potwierdzona ofiara z >1 TB danych na stronie wycieku.
• Łatanie i twardnienie EBS to priorytet dnia dzisiejszego; CISA klasyfikuje lukę jako aktywnie wykorzystywaną (KEV).
• Organizacje powinny przyjąć założenie o możliwej eksfiltracji i prowadzić hunting wsteczny co najmniej od końca lipca/września 2025 r., zgodnie z ustaleniami GTIG/Mandiant.

Źródła / bibliografia

• SecurityWeek: Harvard Is First Confirmed Victim of Oracle EBS Zero-Day Hack (14 października 2025). (SecurityWeek)
• The Record: Harvard says ‘limited number of parties’ impacted by breach linked to Oracle zero-day (13 października 2025). (The Record from Recorded Future)
• Oracle Security Alert – CVE-2025-61882 (RCE, EBS). (Oracle)
• Oracle Security Alert – CVE-2025-61884 (ujawnienie informacji, EBS Runtime UI). (Oracle)
• Google Threat Intelligence: Oracle E-Business Suite Zero-Day Exploited in Extortion Campaign (9 października 2025). (Google Cloud)