CVE-2026-46817
Oracle E-Business Suite Improper Privilege Management Vulnerability
Beschreibung
CVE-2026-46817 ist eine kritische Schwachstelle im Produkt Oracle Payments der Oracle E-Business Suite (Komponente File Transmission), die es einem nicht authentifizierten Angreifer mit Netzwerkzugriff über HTTP erlaubt, Oracle Payments vollständig zu übernehmen. Die mit CVSS 9.8 (Kritisch) bewertete Lücke betrifft Oracle E-Business Suite 12.2.3 bis 12.2.15 und beruht auf Authentifizierungs- und Rechteverwaltungsschwächen: unsachgemäße Rechteverwaltung, unsachgemäße Authentifizierung und fehlende Authentifizierung für eine kritische Funktion. Da Oracle Payments die Zahlungsströme einer Organisation abwickelt, bedroht eine Übernahme unmittelbar Zahlungsdaten und -prozesse. CISA hat CVE-2026-46817 mit Frist 18.07.2026 in den Katalog der Known Exploited Vulnerabilities (KEV) aufgenommen und damit die aktive Ausnutzung dieser Oracle-E-Business-Suite-Schwachstelle bestätigt.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenCWEs
Betroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| oracle | e-business suite | >= 12.2.3, <= 12.2.15 |
Referenzen
- https://www.oracle.com/security-alerts/cspumay2026.html(Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-46817(US Government Resource)
Schwachstellentyp
CWE-269: Unsachgemäße Rechteverwaltung
Unsachgemäße Rechteverwaltung tritt auf, wenn ein Produkt Rechte für Benutzer, Prozesse oder Systeme nicht ordnungsgemäß zuweist, ändert, verfolgt oder prüft. In der Oracle E-Business Suite trägt diese Schwäche dazu bei, dass ein unprivilegierter Netzwerk-Angreifer Funktionalität in Oracle Payments erreichen kann, die autorisierten Rollen vorbehalten sein sollte.
Mehr erfahren: CWE-269 — Unsachgemäße Rechteverwaltung
CWE-287: Unsachgemäße Authentifizierung
Unsachgemäße Authentifizierung tritt auf, wenn Software nicht ausreichend beweist, dass die behauptete Identität eines Akteurs korrekt ist. In der File-Transmission-Komponente von Oracle Payments ermöglicht fehlerhafte Authentifizierungslogik Angreifern, mit geschützter Funktionalität zu interagieren, ohne ihre Identität gültig nachzuweisen.
Mehr erfahren: CWE-287 — Unsachgemäße Authentifizierung
CWE-306: Fehlende Authentifizierung für kritische Funktion
Fehlende Authentifizierung für eine kritische Funktion bedeutet, dass Funktionalität, die eindeutig eine nachweisbare Benutzeridentität erfordert, überhaupt keine Authentifizierung durchführt. Bei diesem CVE sind kritische Oracle-Payments-Operationen ohne Zugangsdaten über HTTP erreichbar — genau das macht den Angriff vollständig unauthentifiziert.
Mehr erfahren: CWE-306 — Fehlende Authentifizierung für kritische Funktion
Auswirkungsanalyse
CVE-2026-46817 erreicht einen CVSS-3.1-Basiswert von 9.8 (Kritisch), weil die Lücke über HTTP aus der Ferne ohne physischen Zugang ausnutzbar ist, leicht auszunutzen ohne besondere Voraussetzungen, keine Authentifizierung erfordert und keine Benutzeraktion benötigt. Oracle selbst beschreibt die Schwachstelle als leicht ausnutzbar und gibt an, dass erfolgreiche Angriffe zur Übernahme von Oracle Payments führen können. Vertraulichkeit (Hoch): Zahlungskonfigurationen und die von Oracle Payments verarbeiteten Finanztransaktionsdaten werden offengelegt. Integrität (Hoch): Ein Angreifer mit Kontrolle über das Zahlungsmodul kann Zahlungsanweisungen und Finanzdaten manipulieren — ein unmittelbares Betrugsrisiko. Verfügbarkeit (Hoch): Die Übernahme erlaubt die Störung der Zahlungsabwicklung, für viele Organisationen eine geschäftskritische Funktion. Der EPSS-Wert von rund 1,0 % ist noch moderat, doch die CISA-KEV-Listung bestätigt, dass die Schwachstelle bereits in der Praxis ausgenutzt wird — aus dem Internet erreichbare E-Business-Suite-Instanzen sind unmittelbar gefährdet.
Exploit-Reifegrad
CVE-2026-46817 ist im CISA-Katalog der Known Exploited Vulnerabilities gelistet, aktive Ausnutzung in freier Wildbahn ist damit bestätigt; eine Nutzung durch Ransomware ist derzeit als „Unknown" eingestuft. In den verfügbaren Referenzen ist kein öffentlicher Exploit-Code verlinkt — publiziert sind das Oracle-CPU-Advisory vom Mai 2026 und der CISA-KEV-Eintrag. Der EPSS-Wert von 1,0 % (60,4. Perzentil) deutet darauf hin, dass die Ausnutzung noch nicht breit automatisiert ist; bestätigte reale Angriffe auf eine unauthentifizierte Übernahme-Schwachstelle in einem Finanzmodul bedeuten jedoch, dass betroffene E-Business-Suite-Installationen ohne Abwarten weiterer Exploit-Signale vor der KEV-Frist am 18.07.2026 gepatcht werden sollten.
Behebung
- Befolgen Sie die von CISA im KEV-Katalog geforderte Maßnahme: Mitigationen gemäß Herstelleranweisungen anwenden, unter Einhaltung der BOD-26-04-Vorgaben zur risikobasierten Patch-Priorisierung und der „Forensics Triage Requirements" von CISA — oder den Einsatz des Produkts einstellen, falls keine Mitigationen verfügbar sind. Die KEV-Frist ist der 18.07.2026.
- Spielen Sie die Patches aus dem Oracle Critical Security Patch Update vom Mai 2026 in allen Oracle-E-Business-Suite-Umgebungen der Versionen 12.2.3 bis 12.2.15 ein.
- Bis zum Patchen den HTTP-Zugriff auf die Oracle E-Business Suite einschränken: die Applikationsschicht nicht direkt ins Internet exponieren, hinter VPN oder einen authentifizierenden Reverse Proxy stellen und den Zugriff auf die Oracle-Payments- und File-Transmission-Endpunkte auf vertrauenswürdige Netze begrenzen.
- Anwendungs- und Webserver-Logs auf unauthentifizierte oder anomale Anfragen gegen Oracle-Payments- und File-Transmission-Funktionen prüfen sowie Zahlungskonfigurationen und jüngste Zahlungsanweisungen auf unautorisierte Änderungen auditieren — die Ausnutzung in freier Wildbahn ist bestätigt.
- Zur langfristigen Härtung gegen die zugrunde liegenden Schwächen (CWE-269, CWE-287, CWE-306): Authentifizierung für jede kritische Funktion auf API- und Service-Ebene erzwingen, robuste rollenbasierte Zugriffskontrolle mit serverseitigen Rechteprüfungen implementieren und sich niemals auf Verschleierung zum Schutz administrativer oder finanzieller Schnittstellen verlassen.
Technische Details
Technisch liegt CVE-2026-46817 in der File-Transmission-Komponente des Produkts Oracle Payments innerhalb der Oracle E-Business Suite und kombiniert drei verwandte Schwächeklassen. Fehlende Authentifizierung für eine kritische Funktion (CWE-306) bedeutet, dass zahlungsbezogene Operationen ohne jede Credential-Prüfung über HTTP erreichbar sind; unsachgemäße Authentifizierung (CWE-287) beschreibt das Versagen, die Identität des Aufrufers dort korrekt nachzuweisen, wo Prüfungen existieren; und unsachgemäße Rechteverwaltung (CWE-269) heißt, dass die Anwendung nicht ordnungsgemäß einschränkt, welche Akteure privilegierte Zahlungsoperationen ausführen dürfen. Zusammen erlauben diese Fehler einem entfernten Angreifer die Interaktion mit Funktionalität, die eine authentifizierte, privilegierte Identität erfordern müsste — bis hin zu dem, was Oracle als Übernahme von Oracle Payments beschreibt. Der CVSS-Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H quantifiziert das: Netzwerk-Angriffsvektor über HTTP (AV:N), geringe Komplexität (AC:L), keine Privilegien (PR:N), keine Benutzerinteraktion (UI:N) und hohe Auswirkung auf Vertraulichkeit, Integrität und Verfügbarkeit bei unverändertem Scope (S:U).
Häufig gestellte Fragen
Wird CVE-2026-46817 aktiv ausgenutzt?
Ja. CVE-2026-46817 steht im CISA-Katalog der Known Exploited Vulnerabilities, was Ausnutzung in freier Wildbahn bestätigt; die behördliche Behebungsfrist ist der 18.07.2026. Eine Nutzung durch Ransomware ist derzeit als unbekannt eingestuft, der EPSS-Wert von rund 1,0 % liegt im 60. Perzentil.
Welche Produkte sind von CVE-2026-46817 betroffen?
Betroffen ist das Produkt Oracle Payments der Oracle E-Business Suite, konkret die Komponente File Transmission, in den Versionen 12.2.3 bis 12.2.15. Organisationen mit einer E-Business-Suite-12.2-Version in diesem Bereich sollten sich bis zum Patchen als betroffen betrachten.
Wie behebe ich CVE-2026-46817?
Spielen Sie die Fixes aus dem Oracle Critical Security Patch Update vom Mai 2026 in allen betroffenen E-Business-Suite-Umgebungen ein. Bis dahin die Applikationsschicht vom Internet fernhalten, den HTTP-Zugriff auf Oracle-Payments-Endpunkte auf vertrauenswürdige Netze beschränken und Zahlungsdaten auf unautorisierte Änderungen prüfen.
Wie schwerwiegend ist CVE-2026-46817?
CVE-2026-46817 ist mit einem CVSS-3.1-Basiswert von 9.8 als Kritisch eingestuft: Ein nicht authentifizierter Netzwerk-Angreifer kann Oracle Payments mit hoher Auswirkung auf Vertraulichkeit, Integrität und Verfügbarkeit übernehmen. Die Aufnahme in den CISA-KEV-Katalog belegt, dass das Risiko praktisch und nicht nur theoretisch ist, und der finanzielle Charakter des betroffenen Moduls erhöht die Geschäftsauswirkung zusätzlich.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.