Oracle E-Business Suite bị khai thác lỗ hổng nghiêm trọng trước khi có mã PoC công khai
"Attackers were observed exploiting CVE-2026-46817 in Oracle E-Business Suite Payments/File Transmission before any public proof-of-concept code was released. The flaw affects EBS releases 12.2.3 through 12.2.15, has a CVSS score of 9.8, and allows unauthenticated arbitrary file reads; Oracle had already patched it in a May Critical Patch Update."
Lỗ hổng cho phép đọc tệp tùy ý từ xa mà không cần xác thực, với mức rủi ro cao (CVSS 9.8). Việc bị khai thác trước khi có PoC làm tăng khả năng tồn tại khai thác “private” và rút ngắn thời gian phản ứng.
Rủi ro rò rỉ dữ liệu và gián đoạn vận hành có thể tăng nếu hệ thống EBS bị truy cập từ Internet. Việc có nhiều phiên bản đang phơi ra Internet (ước tính ~950) làm mở rộng bề mặt tấn công và có thể kéo theo chi phí xử lý sự cố, điều tra và tuân thủ.
Các nhà nghiên cứu cho biết kẻ tấn công đã bắt đầu khai thác CVE-2026-46817 trong Oracle E-Business Suite (EBS) ở module Payments/File Transmission trước khi mã proof-of-concept được công bố công khai. Theo Defused, hoạt động khai thác đầu tiên được ghi nhận vào 27/06, nhắm vào các bản EBS 12.2.3 đến 12.2.15. Lỗ hổng có CVSS 9.8 và cho phép kẻ tấn công đọc tệp tùy ý từ máy chủ mà không cần xác thực.
Điểm đáng chú ý là mẫu tấn công không giống việc quét ngẫu nhiên sau khi công bố lỗi. Honeypot ghi nhận chỉ 6 lần thử khai thác từ một nguồn duy nhất, với các yêu cầu có vẻ đã hoạt động, nhằm truy xuất dữ liệu nhạy cảm—hàm ý kẻ tấn công đang kiểm tra hoặc xác nhận kỹ thuật.
Oracle đã phát hành bản vá trong May Critical Patch Update. Shadowserver ước tính có khoảng 950 phiên bản EBS đang mở ra Internet, nhưng con số này không phản ánh trạng thái đã vá hay chưa.
Khuyến nghị: rà soát phạm vi EBS 12.2.3–12.2.15, ưu tiên áp dụng bản vá tương ứng từ May Critical Patch Update, đồng thời kiểm tra log truy cập bất thường vào thành phần File Transmission và hạn chế truy cập Internet trực tiếp.