Schwachstelle in Oracle E-Business Suite wurde ausgenutzt, bevor öffentlich Proof-of-Concept-Code erschien

Forscher berichten, dass Angreifer Wochen nach der Behebung einer kritischen Schwachstelle in Oracle E-Business Suite und noch vor der Veröffentlichung von Exploit-Code mit Angriffen begannen. Die Aktivitäten deuten darauf hin, dass der Bedrohungsakteur möglicherweise Oracles Fix rückentwickelt oder sich vorab einen privaten Exploit beschafft hatte.

Defused meldete am 27. Juni die ersten beobachteten Ausnutzungsversuche von CVE-2026-46817. Die Schwachstelle betrifft das Modul Payments, genauer die Komponente Oracle Payments File Transmission, in den E-Business-Suite-Versionen 12.2.3 bis 12.2.15. Oracle behob das Problem mit seinem Critical Patch Update vom Mai. Die Schwachstelle hat einen CVSS-Wert von 9,8 und kann nicht authentifizierten Angreifern ermöglichen, beliebige Dateien von exponierten Servern auszulesen.

Anzeichen für gezielte Ausnutzung

Den Forschern zufolge ähnelten die Aktivitäten nicht den breit angelegten Internet-Scans, die häufig nach der Veröffentlichung einer schwerwiegenden Schwachstelle zu beobachten sind. Ihre Honeypots registrierten lediglich sechs Versuche, die alle von einer einzigen Quelle stammten und offenbar einen funktionierenden Exploit nutzten. Die Anfragen zielten darauf ab, vertrauliche Dateien abzurufen. Laut Defused deutet dies eher auf das Testen oder Validieren einer Technik als auf groß angelegte, opportunistische Angriffe hin.

Die Forscher stellten fest, dass die Ausnutzung begann, bevor öffentlich zugänglicher Proof-of-Concept-Code verfügbar war. Dies untermauert die Möglichkeit, dass die Angreifer entweder Oracles Patch analysierten, um die Schwachstelle aufzudecken, oder sich über andere Kanäle einen Exploit beschafften.

Größere Verbreitung bei Oracle-Kunden

Die Shadowserver Foundation erklärte, sie beobachte derzeit rund 950 Oracle-E-Business-Suite-Instanzen, die dem öffentlichen Internet ausgesetzt sind. Die meisten davon befinden sich in den Vereinigten Staaten. Die Gruppe warnte jedoch, dass eine solche Exponierung nicht zwangsläufig bedeutet, dass ein System verwundbar ist, da einige Systeme möglicherweise bereits gepatcht oder durch von außen nicht sichtbare Kontrollen geschützt sind.

Der Vorfall reiht sich in eine Serie von Angriffen auf Unternehmenssoftware ein. Anfang dieses Monats beschrieben Forscher die Ausnutzung einer Zero-Day-Schwachstelle in PeopleSoft, bevor Patches flächendeckend eingesetzt worden waren. Im vergangenen Jahr waren Kunden von Oracle E-Business Suite zudem von einer längeren, Clop zugeschriebenen Kampagne betroffen, die sich gegen aus dem Internet erreichbare Server richtete, bevor die Aktivitäten öffentlich bekannt wurden.

Sicherheitsforscher erklären, dass diese Fälle ein bekanntes Risiko für Nutzer von Unternehmenssoftware verdeutlichen: Sobald Anbieter einen Patch veröffentlichen, können Angreifer das Update als Anleitung zur zugrunde liegenden Schwachstelle betrachten und schnell gegen Organisationen vorgehen, die es noch nicht installiert haben.