Die kritische Schwachstelle CVE-2026-46817 betrifft die Komponente File Transmissions im Payments-Produkt von Oracle E-Business Suite. Oracle bewertet den Fehler mit 9,8 auf der CVSS-Skala. Laut Hersteller können nicht authentifizierte Angreifer die Lücke über HTTP ausnutzen, um Payments zu kompromittieren. Oracle schreibt dazu, dass erfolgreiche Angriffe „zur Übernahme von Oracle Payments führen können“.
Geschlossen wurde die Lücke Ende Mai mit Oracles erstem monatlichen Critical Security Patch Update. Dieses CSPU umfasste nach Angaben des Unternehmens 77 Sicherheitskorrekturen. Nun meldet Defused, dass am Wochenende die ersten Ausnutzungsversuche gegen die Schwachstelle auf den eigenen EBS-Honeypots beobachtet wurden. Die Warnung veröffentlichte das Unternehmen am Montag.
Bemerkenswert ist dabei laut Defused, dass es zuvor keine Berichte über eine Ausnutzung der Lücke unter realen Bedingungen gegeben habe. Auch ein öffentlich verfügbarer Proof-of-Concept-Exploit sei bislang nicht bekannt. Trotz dieses fehlenden Vorlaufs haben Angreifer nun offenbar begonnen, gezielt nach verwundbaren Systemen zu suchen oder diese anzugreifen.
Defused verweist zudem auf den breiteren Kontext: Sicherheitslücken in Oracle E-Business Suite und anderen Oracle-Produkten werden regelmäßig in Angriffskampagnen ins Visier genommen. Im Oktober 2025 nutzte die Ransomware- und Erpressergruppe Cl0p eine Zero-Day-Schwachstelle in dem Unternehmensprodukt aus, um Daten von mehr als 100 Organisationen zu stehlen.
Auch aus früheren Fällen ist bekannt, dass Angriffe auf Oracle-Unternehmenssoftware schnell anlaufen können. Anfang 2023 begannen Bedrohungsakteure damit, eine Schwachstelle in E-Business Suite kurz nach der Veröffentlichung eines Proof of Concept auszunutzen. In diesem Monat erklärte zudem die bekannte Erpressergruppe ShinyHunters, mehr als 100 Organisationen in einer Kampagne gegen Oracle PeopleSoft ins Visier genommen zu haben; einige Betroffene bestätigten die Auswirkungen bereits.
Vor diesem Hintergrund rät Defused, Oracles Patches so schnell wie möglich einzuspielen. Diese Empfehlung stützt sich auf die Kombination aus der kritischen Einstufung von CVE-2026-46817 und den nun beobachteten ersten Angriffen.