La vulnerabilità di Oracle E-Business Suite è stata sfruttata prima della comparsa del codice pubblico di proof-of-concept

Secondo i ricercatori, gli aggressori hanno iniziato a prendere di mira una vulnerabilità critica di Oracle E-Business Suite settimane dopo la sua correzione e prima che fosse reso pubblico qualsiasi codice di exploit. L’attività suggerisce che l’autore della minaccia possa aver sottoposto a reverse engineering la correzione di Oracle o ottenuto in anticipo un exploit privato.

Defused ha segnalato il primo sfruttamento osservato di CVE-2026-46817 il 27 giugno. La falla interessa il modulo Payments, nello specifico il componente Oracle Payments File Transmission, nelle versioni di E-Business Suite dalla 12.2.3 alla 12.2.15. Oracle ha risolto il problema nel Critical Patch Update di maggio. La vulnerabilità ha un punteggio CVSS di 9,8 e può consentire ad aggressori non autenticati di leggere file arbitrari dai server esposti.

Segnali di sfruttamento mirato

Secondo i ricercatori, l’attività non era riconducibile alla scansione su vasta scala di Internet spesso osservata dopo la divulgazione di una vulnerabilità grave. I loro honeypot hanno registrato soltanto sei tentativi, tutti provenienti da un’unica fonte e apparentemente basati su un exploit funzionante. Le richieste miravano a recuperare file sensibili, un elemento che secondo Defused indica il collaudo o la convalida di una tecnica, piuttosto che un abuso opportunistico su larga scala.

I ricercatori hanno osservato che lo sfruttamento è iniziato prima che diventasse disponibile il codice pubblico di proof-of-concept, rafforzando la possibilità che gli aggressori abbiano analizzato la patch di Oracle per scoprire la falla oppure abbiano acquisito un exploit attraverso altri canali.

Un’esposizione più ampia tra i clienti Oracle

La Shadowserver Foundation ha dichiarato di monitorare attualmente circa 950 istanze di Oracle E-Business Suite esposte su Internet, la maggior parte delle quali negli Stati Uniti. Il gruppo ha tuttavia precisato che l’esposizione non significa necessariamente che un sistema sia vulnerabile, poiché alcuni potrebbero essere già stati aggiornati o protetti da controlli non visibili dall’esterno.

L’incidente si aggiunge a una serie di attacchi contro i software aziendali. All’inizio di questo mese, i ricercatori hanno descritto lo sfruttamento di una vulnerabilità zero-day di PeopleSoft prima che le patch fossero ampiamente distribuite. L’anno scorso, i clienti di Oracle E-Business Suite erano inoltre stati coinvolti in una campagna più lunga attribuita a Clop, che aveva preso di mira server esposti su Internet prima che l’attività venisse resa pubblica.

Secondo i ricercatori di sicurezza, questi casi evidenziano un rischio noto per gli utenti di software aziendali: una volta che i fornitori pubblicano una patch, gli aggressori possono considerare l’aggiornamento una guida alla debolezza sottostante e agire rapidamente contro le organizzazioni che non l’hanno ancora installata.