Clop dan Zero-Day Oracle E-Business Suite: Gelombang Pemerasan Massal

Zero-day Oracle E-Business Suite CVE-2025-61882 menjadi dasar gelombang pemerasan massal oleh kelompok Clop: data dicuri dari sejumlah korban sebelum Oracle merilis patch pada 4 Oktober 2025, lalu eksekutif menerima email pemerasan. Kasus ini menunjukkan mengapa sistem ERP yang terhubung ke internet adalah target bernilai tinggi dan mengapa patch saja tidak menjawab pertanyaan apakah data Anda sudah dicuri.

Ringkasan Celah Oracle E-Business Suite CVE-2025-61882

• CVE: CVE-2025-61882.
• Produk dan versi terdampak: Oracle E-Business Suite 12.2.3 sampai 12.2.14, pada produk Oracle Concurrent Processing (komponen BI Publisher Integration). Oracle mensyaratkan Critical Patch Update Oktober 2023 terpasang lebih dahulu.
• Jenis: eksekusi kode jarak jauh tanpa autentikasi, CVSS 3.1 9,8 (Critical), dinilai Oracle.
• Status eksploitasi: dieksploitasi sebagai zero-day. Masuk CISA KEV pada 6 Oktober 2025, dengan CISA mengonfirmasi pemakaian dalam kampanye ransomware.
• Perbaikan: advisori dan patch darurat Oracle pada 4 Oktober 2025.
• Pelaku: aktivitas pencurian data dikaitkan Mandiant dengan Clop (lihat bagian atribusi).

Apa yang Terjadi: Gelombang Pemerasan Massal Clop

Menurut CyberScoop, Clop mengeksploitasi zero-day di Oracle E-Business Suite untuk mencuri data dari korban. Charles Carmakal dari Mandiant menyebut Clop memakai beberapa kerentanan EBS, termasuk zero-day tersebut, untuk mencuri data dalam jumlah besar pada Agustus 2025. CrowdStrike mengidentifikasi eksploitasi paling awal yang diketahui pada 9 Agustus 2025, sekitar delapan pekan sebelum patch. Menurut CyberScoop, sebagian eksekutif korban sudah menerima email pemerasan sebelum peneliti menyadari serangan tersebut.

Oracle mengungkap dan menambal zero-day itu pada Sabtu 4 Oktober 2025, lengkap dengan indikator kompromi, dan CISA menambahkannya ke KEV pada Senin 6 Oktober dengan catatan dipakai dalam kampanye ransomware. Menurut CyberScoop, watchTowr berhasil mereproduksi rantai eksploitasi yang menggabungkan setidaknya lima bug berbeda. Menurut Rapid7, NCSC Inggris dan CSA Singapura juga mengeluarkan peringatan darurat.

Dampak dan Status Atribusi

Jumlah total korban belum diketahui, dan CyberScoop tidak menyebut berapa organisasi yang terdampak. Halcyon melaporkan tuntutan tebusan Clop mencapai hingga 50 juta dolar AS, dengan tuntutan yang terlihat sejauh itu berkisar tujuh sampai delapan digit. CyberScoop menggambarkan Clop sebagai kelompok bermotif keuntungan yang selaras dengan ekosistem kejahatan siber Rusia dan dikenal dengan pencurian data massal lewat layanan transfer file.

Perlu dibedakan antara yang terkonfirmasi dan yang diklaim. Terkonfirmasi: celah, patch, dan status KEV. Atribusi ke Clop berasal dari Mandiant, dan Rapid7 mencatat satu kelompok lain memakai nama gabungan "Scattered Lapsus$ Hunters" untuk merilis bundel exploit yang diduga bocor. Belum jelas apakah kode bocor itu bekerja atau memakai CVE ini atau celah lama. Jangan menarik kesimpulan atribusi dari satu nama kelompok.

Celah Oracle E-Business Suite pada 2026

Pada 2026 CISA menambahkan dua celah Oracle lain ke KEV. CVE-2026-46817 ada pada produk Oracle Payments di Oracle E-Business Suite (komponen File Transmission), versi 12.2.3 sampai 12.2.15, dapat dieksploitasi tanpa autentikasi lewat HTTP dengan CVSS 3.1 9,8 menurut Oracle, dan masuk KEV pada 15 Juli 2026. CVE-2026-21962 ada pada Oracle HTTP Server dan WebLogic Server Proxy Plug-in versi 12.2.1.4.0, 14.1.1.0.0, dan 14.1.2.0.0, dengan CVSS 3.1 10,0 menurut Oracle. Catatan CVE-nya terbit 20 Januari 2026, dan celah ini masuk KEV pada 24 Agustus 2026. Pesannya konsisten: produk Oracle yang menghadap internet terus diincar.

Cara Mengecek Paparan dan Mitigasi Oracle E-Business Suite

1. Cari semua instans EBS. Termasuk server uji, anak perusahaan, dan sistem yang dikelola vendor.
2. Pasang patch darurat. Terapkan advisori CVE-2025-61882 dan Critical Patch Update terbaru, dengan memastikan prasyarat CPU Oktober 2023.
3. Hunting mundur. Karena eksploitasi dimulai sekitar Agustus 2025, periksa log dan lalu lintas ke EBS sejak saat itu, bukan hanya sejak tanggal patch. Cari akses ke komponen yang tidak lazim dan perintah yang tidak seharusnya berjalan dari server EBS. Gunakan indikator kompromi yang dipublikasikan Oracle dalam advisorinya.
4. Jangan biarkan EBS terbuka ke internet. Taruh di belakang VPN atau reverse proxy yang membatasi path ke yang benar-benar diperlukan.
5. Waspada email pemerasan. Eksekutif sebaiknya tahu ke mana harus meneruskan email ancaman, dan tim hukum serta insiden harus siap menilai apakah data benar-benar dicuri.
6. Siapkan respons kebocoran data. Lihat kewajiban pada UU PDP bila data pribadi terlibat.

Relevansi bagi Indonesia

EBS lazim dipakai organisasi besar untuk keuangan, pengadaan, dan SDM. Data di dalamnya, misalnya data pegawai dan pemasok, sangat berharga bagi pemeras. Pola pemerasan data tanpa enkripsi ini berbeda dari ransomware klasik: sistem tetap berjalan, tetapi ancaman publikasi data tetap ada. Pelajari dasar-dasarnya di penjelasan ransomware dan prinsip menutup celah di kerentanan zero-day. Rujukan: CyberScoop dan Rapid7.

Pelajaran Pertahanan dari Pola Pemerasan Data

Pola Clop berulang: kelompok ini memilih satu produk yang dipakai banyak perusahaan, mengeksploitasinya secara massal saat masih zero-day, mencuri data, lalu menekan korban satu per satu. Karena tidak ada enkripsi, backup tidak menyelesaikan masalah. Yang dibutuhkan adalah mengurangi apa yang dapat dicuri dan mempercepat deteksi.

• Kurangi data yang tersimpan. Hapus atau arsipkan data lama di ERP dan batasi siapa yang boleh mengekspornya dalam jumlah besar.
• Pantau trafik keluar. Transfer data besar dari server aplikasi ERP ke tujuan tak dikenal patut dicurigai.
• Siapkan rencana komunikasi. Tentukan siapa yang menangani email ancaman, siapa yang menghubungi regulator, dan bagaimana pelanggan diberi tahu.
• Uji pemahaman tim. Latihan simulasi insiden membantu eksekutif tidak panik saat menerima email semacam itu.

Baca juga: MongoBleed (CVE-2025-14847): Kebocoran Memori di MongoDB.

Pertanyaan yang Sering Diajukan

Apakah patch Oracle cukup untuk menutup masalah?

Tidak sepenuhnya. Eksploitasi terjadi berminggu-minggu sebelum patch, jadi perlu pemeriksaan kompromi dan, bila ada indikasi, penilaian apakah data dicuri.

Apakah korban pasti akan menerima email pemerasan?

Tidak ada jaminan. Laporan menyebut sebagian eksekutif korban menerima email pemerasan, tetapi cakupan total korban belum diketahui.

Apakah membayar tebusan menyelesaikan masalah?

Tidak ada jaminan data dihapus. Konsultasikan dengan tim hukum dan respons insiden, serta pertimbangkan kewajiban pelaporan.

Kesimpulan

Per 29 Oktober 2026, kasus zero-day Oracle E-Business Suite adalah contoh jelas pemerasan data berbasis celah pada ERP yang terpapar internet. Patch, hunting mundur, dan batas akses jaringan adalah langkah inti. Bila Anda ingin menguji kesiapan tim menghadapi pemerasan data, lihat pelatihan Linuxhackingid untuk tim keamanan dan respons insiden.