Saldırganlar Oracle E-Business Suite kusuru CVE-2026-46817'den aktif olarak yararlanıyor
Pierluigi Paganini 30 Haziran 2026 30 Haziran 2026
Saldırganlar, Oracle E-Business Suite'teki CVE-2026-46817 numaralı, uzak, kimliği doğrulanmamış saldırganların Oracle Payments'ı devralmasına olanak tanıyan kritik bir kusurdan yararlanıyor.
Siber güvenlik firması Defused Cyber'e göre, Oracle E-Business Suite'teki CVE-2026-46817 olarak takip edilen kritik bir güvenlik açığı, aktif olarak istismar ediliyor.
"CVE-2026-46817 (Oracle E-Business'ta CVSS 9.8 kimlik doğrulamasız HTTP devralması) istismar ediliyor Hafta sonu, bir aktörün Oracle E-Business balküplerimizdeki güvenlik açığından yararlandığını gözlemledik." Siber güvenlik firmasının X hakkında yayınladığı gönderiyi okur. "Bu güvenlik açığının daha önce bilinen bir kullanımı yoktur ve genel bir POC kodu mevcut değildir."
🚨 CVE-2026-46817 (Oracle E-Business'ta CVSS 9.8 kimlik doğrulamasız HTTP devralması) istismar ediliyor
Hafta sonu, Oracle E-Business balküplerimizdeki güvenlik açığından yararlanan bir aktörü gözlemledik
Bu güvenlik açığının daha önce bilinen bir kullanımı ve genel POC kodu yoktur… — Etkisizleştirildi (@DefusedCyber) 29 Haziran 2026
Kusur, Oracle Payments'ın 12.2.3'ten 12.2.15'e kadar olan sürümlerini etkiliyor ve kimliği doğrulanmamış saldırganların, HTTP üzerinden savunmasız sistemleri ele geçirmesine olanak tanıyor. Oracle, sorunu geçen ayki Kritik Yama Güncellemesinde düzeltti ve müşterilerini yamaları hemen uygulamaları konusunda uyardı.
Defused Cyber, kusurdan veya saldırganların motivasyonundan yararlanan saldırılarla ilgili teknik ayrıntıları açıklamadı.
Haziran ortasında, ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), CVE-2026-35273 (CVSS puanı 9,8) olarak takip edilen Oracle PeopleSoft Enterprise PeopleTools kusurunu Bilinen Açıklardan Yararlanan Güvenlik Açıkları (KEV) kataloğuna ekledi.
Oracle PeopleSoft Enterprise PeopleTools, Oracle PeopleSoft uygulama yazılımlarını oluşturmak, çalıştırmak, yönetmek ve özelleştirmek için kullanılan temel teknoloji platformudur.
Kusur CVE-2026-35273, Oracle PeopleSoft'un Ortam Yönetimi bileşenindeki bir uzaktan kod yürütme güvenlik açığıdır. Kimlik doğrulama gerekmez. Kullanıcı etkileşimi gerekmez. Yalnızca Ortam Yönetim Merkezi uç noktasına ağ erişimiyle sunucuyu devralabilirsiniz.
Mandiant ve Google'ın Tehdit İstihbaratı Grubu, Oracle'ın nihayet istismar edilen güvenlik açığına ilişkin bir tavsiye yayınlamasından bir gün sonra, 11 Haziran'da aktif bir ShinyHunters kampanyasının analizini yayınladı. Boşluk önemlidir: Faaliyet 27 Mayıs'tan 9 Haziran'a kadar sürdü; bu, bu iki hafta boyunca etkilenen her kuruluşun sıfır günle, mevcut bir yaması olmayan ve resmi satıcı uyarısı olmayan bir kusurla uğraştığı anlamına geliyor. Mandiant'ın bildirdiği 100'den fazla kuruluşun yüzde altmış sekizi, çoğu ABD'de bulunan üniversiteler ve kolejlerdi.
Beni Twitter'da takip edin: @securityaffairs ve Facebook ve Mastodon
Pierluigi Paganini
(SecurityAffairs – Oracle, bilgisayar korsanlığı)
