Defused Cyber'e göre, Oracle E-Business Suite'i etkileyen kritik bir güvenlik açığı aktif olarak istismar ediliyor.
CVE-2026-46817 (CVSS puanı: 9,8) olarak takip edilen güvenlik açığı, Oracle Payments'ta duyarlı örnekleri ele geçirmek için kötüye kullanılabilecek uygunsuz bir ayrıcalık yönetimi ve kimlik doğrulama kusurunu ifade ediyor.
NIST Ulusal Güvenlik Açığı Veritabanındaki (NVD) kusurun açıklamasına göre, "Kolayca istismar edilebilen güvenlik açığı, HTTP üzerinden ağ erişimi olan kimliği doğrulanmamış bir saldırganın Oracle Payments'ı tehlikeye atmasına olanak tanıyor." "Bu güvenlik açığına yönelik başarılı saldırılar, Oracle Payments'ın ele geçirilmesiyle sonuçlanabilir."
Bu eksiklik 12.2.3'ten 12.2.15'e kadar olan sürümleri etkilemektedir. Kusura yönelik yamalar, geçen ay Kritik Güvenlik Yaması Güncellemesi kapsamında Oracle tarafından gönderildi.
CVE-2026-46817 o zamandan bu yana aktif olarak istismar edilmeye başlandı ve Defused Cyber Pazartesi günü "hafta sonu Oracle E-Business bal küplerimizdeki güvenlik açığından yararlanan bir aktör gözlemledik" dedi ve ekledi "bu güvenlik açığının daha önce bilinen bir istismarı yok ve halka açık PoC [kavram kanıtı] kodu mevcut değil."
Bununla birlikte, şu anda güvenlik kusurunun nasıl istismar edildiği, arkasında kimin olduğu ve bunun yama yapılmamış sistemleri hedefleyen daha geniş bir fırsatçı veya hedefli kampanyanın parçası olup olmadığı konusunda hiçbir ayrıntı mevcut değil.
Geçen yılın sonlarında, aynı üründeki bir başka kritik kusur (CVE-2025-61882, CVSS puanı: 9,8), Cl0p fidye yazılımı operasyonuyla bağlantılı tehdit aktörleri tarafından silah haline getirildi ve ilk saldırılar Ağustos 2025'te başlatıldı.
Bu ayın başlarında şirket, PeopleSoft Suite'te ShinyHunters (diğer adıyla SHADOW-AETHER-015) veri hırsızlığı ve gasp saldırılarında aktif olarak kullanılan kritik bir eksik kimlik doğrulama sıfır gün güvenlik açığını (CVE-2026-35273, CVSS puanı: 9,8) ele aldı.
Trend Micro, "Bu güvenlik açığının dikkate değer özelliği etkisi değil, neredeyse tamamen gözlemlenebilir olmamasıdır" dedi. "Son kod yürütme adımı, uygulama sunucusunun kendi Java sanal makinesi (JVM) içindeki Java'nın XMLDecoder'ı aracılığıyla çalışır, gelen istek yerine yeniden başlatmayla tetiklenir ve başarılı olmak için hiçbir alt işleme veya giden işarete ihtiyaç duymaz. Her zamanki yerleri izleyen bir savunma oyuncusu sessiz bir sistem görür."
Otomobil üreticisi Nissan, o zamandan beri kendisinin de etkilenenler arasında olduğunu kabul etti ve PeopleSoft kusurunun istismar edilmesini içeren bir izinsiz girişin kurbanı olduğunu, potansiyel olarak ABD, Kanada, Meksika ve Brezilya'daki çalışanlarına ait maaş bordrosu kayıtlarının, banka ayrıntılarının, Sosyal Güvenlik numaralarının ve diğer kişisel ve mali verilerin açığa çıktığını belirtti.
watchTowr'un baş güvenlik araştırmacısı Jake Knott yaptığı açıklamada, "CVE-2026-35273'ün önemsiz, istismar edilmesi kolay bir tek istek güvenlik açığı olmaması dikkat çekiciydi" dedi. "Saldırı zinciri çok daha karmaşıktır; birden fazla güvenlik açığını birleştirerek hemen yürütülmeyen ancak sunucu yeniden başlatılana kadar bekleyen kötü amaçlı bir dosya yerleştirir."
"Normalde basit hatalar göreceğimiz yerde, bu birden fazla güvenlik açığından oluşan bir zincirdir; bu, bir tehdit aktörünün temel kod tabanı hakkında gerçek bilgi ve aşinalığa sahip olduğunu ve buna karşı hedeflenen yetenekler geliştirme becerisini akla getirir."
Knott ayrıca tehdit aktörlerinin güvenlik açıklarından her zamankinden daha hızlı yararlandığına dikkat çekerek kuruluşlara, yamalar uygulanmadan önce erişimin elde edilip edilmediğini, neye erişildiğini ve kalıcılığın sağlanıp sağlanmadığını belirlemek için uzlaşmayı üstlenmeye ve olay müdahale süreçlerini etkinleştirmeye çağırdı.
