Oracle E-Business Suite CVE-2026-46817 aktiv ausgenutzt

Oracle E-Business Suite CVE-2026-46817, eine kritische Schwachstelle, wird aktiv ausgenutzt: Ein Angreifer ohne jegliche Zugangsdaten kann per HTTP Oracle Payments übernehmen — das Modul, das Ihre Zahlungsläufe ausführt. CISA hat die Schwachstelle am 15. Juli in den Katalog der aktiv ausgenutzten Schwachstellen (KEV) aufgenommen und US-Bundesbehörden nur drei Tage Zeit zum Patchen gegeben. Diese Frist ist am Samstag abgelaufen. Wer bis jetzt nicht gepatcht hat, sollte davon ausgehen, dass seine Instanz bereits gescannt wurde.

Was ist passiert

Oracle E-Business Suite CVE-2026-46817 (CVSS 9.8) ist eine Improper-Privilege-Management-Schwachstelle in der File-Transmission-Komponente von Oracle Payments und betrifft EBS-Versionen 12.2.3 bis 12.2.15. Laut NVD-Eintrag kann ein nicht authentifizierter Angreifer mit HTTP-Netzwerkzugriff Oracle Payments vollständig kompromittieren — ohne Zugangsdaten, ohne Nutzerinteraktion, mit geringer Komplexität.

Oracle hat den Fix bereits im Critical Patch Update vom Mai 2026 ausgeliefert. Am 29. Juni meldete der Threat-Intelligence-Anbieter Defused die erste Ausnutzung in freier Wildbahn gegen seine EBS-Honeypots — bemerkenswert, weil zu diesem Zeitpunkt kein öffentlicher Proof-of-Concept existierte. Am 15. Juli bestätigte CISA die aktive Ausnutzung, nahm die CVE in den KEV-Katalog auf und setzte unter der Binding Operational Directive 26-04 eine Frist bis zum 18. Juli — drei Tage statt der üblichen drei Wochen.

Shadowserver zählt aktuell mehr als 1.000 aus dem Internet erreichbare Oracle-EBS-Instanzen. Wie viele davon gepatcht sind, ist unbekannt.

Warum das wichtig ist

Oracle Payments ist keine Randkomponente. Das Modul verarbeitet Auszahlungen und Zahlungsdateien — die Stelle, an der Ihr ERP mit Ihrer Bank spricht. Wer es kontrolliert, liest Zahlungs-Workflows, Lieferantenstammdaten und Finanzdaten und ist in der Position, ausgehende Zahlungsläufe zu manipulieren. Es ist die dritte Oracle-Business-Plattform, die innerhalb von zehn Monaten ausgenutzt wurde: EBS über CVE-2025-61882 (von Cl0p im Oktober 2025 als Waffe eingesetzt), PeopleSoft über CVE-2026-35273 (ShinyHunters, Juni 2026), jetzt erneut EBS. CISA hat über die Jahre 43 ausgenutzte Oracle-CVEs erfasst; 12 davon wurden von Ransomware-Gruppen missbraucht.

In deutschen Unternehmen ist EBS seltener als SAP, aber Standard in Tochtergesellschaften internationaler Konzerne und in Shared-Service-Umgebungen von Finanzdienstleistern und Pharma. Ein kompromittiertes Zahlungssystem ist für regulierte Unternehmen ein meldepflichtiger Vorfall nach NIS2 — und für alle anderen ein Betrugsschaden.

Was Sie jetzt tun sollten

1. Das Critical Patch Update vom Mai 2026 sofort auf alle EBS-Instanzen mit Version 12.2.3–12.2.15 anwenden. Die Ausnutzung läuft mindestens seit dem letzten Juni-Wochenende — das ist überfällig, nicht vorausschauend.
2. Exposition prüfen: Beantwortet Ihre EBS-Instanz HTTP-/HTTPS-Anfragen aus dem Internet, und ist das Modul Oracle Payments aktiviert? Wenn beides zutrifft, das System unabhängig vom Patch-Status als hochprioritär behandeln.
3. Auf Kompromittierung prüfen: Webserver- und Applikationslogs seit Ende Juni auf unerklärliche Zugriffe auf die File-Transmission-Endpunkte von Oracle Payments durchsehen. Eine öffentliche IoC-Liste existiert noch nicht — das ist eine Lücke, keine Entwarnung. Unerklärte Zugriffe auf Zahlungskonfigurationen sollten Incident Response auslösen.
4. Mitigieren, falls diese Woche kein Patch möglich ist: Direkten Internetzugriff auf EBS auf Netzwerkebene unterbinden (VPN oder IP-Allowlist), bis das CPU eingespielt ist.

DIESEC Einschätzung

ERP-Systeme fallen regelmäßig aus monatlichen Patch-Zyklen heraus, weil Downtime-Fenster schwer zu verhandeln sind — wir sehen Umgebungen, in denen die Perimeter-Geräte monatlich und das ERP einmal jährlich gepatcht werden. Die aufeinanderfolgenden Drei-Tage-Fristen der CISA in diesem Monat (Adobe ColdFusion, SonicWall SMA1000, jetzt Oracle EBS) machen offiziell, was der SharePoint-Exploitation-Cluster bereits gezeigt hat: Der Abstand zwischen Offenlegung und Ausnutzung wird in Tagen gemessen — ein jährliches ERP-Patch-Fenster ist eine dauerhafte Risikoakzeptanz, die niemand offiziell unterschrieben hat.

Nicht sicher, ob Ihre Oracle-E-Business-Suite-Instanz gepatcht, aus dem Internet erreichbar oder bereits kompromittiert ist? Kontaktieren Sie DIESEC für eine schnelle Expositions-Analyse und Kompromittierungsprüfung.

Quellen: Oracle CPU May 2026 | BleepingComputer | The Hacker News
Veröffentlicht: 2026-07-20 | Kategorie: Tägliche News | ~4 Min. Lesezeit