Eine kritische Schwachstelle in der Oracle E-Business Suite wird seit Ende Juni aktiv angegriffen. Über die Lücke können nicht angemeldete Angreifer das Zahlungsmodul der Software vollständig übernehmen. Die US-Behörde CISA hat die Schwachstelle am 15. Juli 2026 in ihren Katalog aktiv ausgenutzter Schwachstellen aufgenommen. Wer die Software einsetzt und den Patch von Ende Mai noch nicht installiert hat, sollte das umgehend nachholen.

Was ist passiert?

Die Oracle E-Business Suite (EBS) ist eine weit verbreitete Sammlung von Geschäftsanwendungen für Bereiche wie Finanzen, Beschaffung und Personal. Viele größere Unternehmen wickeln darüber zentrale Prozesse ab. In der Zahlungskomponente Oracle Payments steckt eine kritische Schwachstelle, die als CVE-2026-46817 geführt wird. Sie erreicht einen CVSS-Score von 9.8 von maximal 10 und zählt damit zur höchsten Risikostufe.

Der Fehler liegt in der File-Transmission-Komponente von Oracle Payments, konkret im Endpunkt ibytransmit. Ursache ist eine fehlerhafte Rechte- und Authentifizierungsprüfung. Für eine kritische Funktion fehlt die Authentifizierung ganz. Das führt dazu, dass ein Angreifer ohne gültige Zugangsdaten und allein über einen HTTP-Zugang zum Server aktiv werden kann. Oracle stuft die Lücke als einfach ausnutzbar ein. Ein erfolgreicher Angriff endet mit der vollständigen Übernahme von Oracle Payments.

Betroffen sind die EBS-Versionen 12.2.3 bis 12.2.15. Oracle hat den Fehler Ende Mai 2026 mit dem Critical Security Patch Update behoben und Kunden zum sofortigen Einspielen aufgefordert.

Wie sieht der Angriff aus?

Das Sicherheitsunternehmen Defused betreibt Locksysteme, sogenannte Honeypots, die echte Oracle-EBS-Installationen nachbilden. Diese Systeme zeichneten am 27. Juni 2026 die erste Ausnutzung der Lücke im echten Angriffsgeschehen auf, rund sechs Wochen nach dem Patch und bevor ein öffentlicher Musterexploit existierte. Beobachtet wurde ein einzelner Akteur, der ohne Anmeldung eine Datei vom Server auslas. Der Angriff rief über den ibytransmit-Endpunkt eine interne Java-Funktion von Oracle direkt auf und lenkte sie darauf um, die Systemdatei /etc/passwd auszulesen. Das war ein gezielter Test der Lücke, kein breites Scannen.

Wie die Angriffe im Detail ablaufen, wer dahintersteht und ob es sich um eine breit gestreute oder eine gezielte Kampagne handelt, ist bislang nicht öffentlich bekannt. Klar ist nur, dass die Ausnutzung begonnen hat. Die Internet-Beobachtungsgruppe Shadowserver zählte je nach Zeitpunkt zwischen rund 450 und über 900 aus dem Internet erreichbare EBS-Instanzen. Ein Teil davon steht in den USA und in Europa. Wie viele dieser Systeme bereits abgesichert sind, ist unklar.

Oracle EBS ist kein neues Ziel. Ende 2025 nutzte die Erpressergruppe Clop bereits eine andere kritische Lücke in derselben Software (CVE-2025-61882, ebenfalls CVSS 9.8) für Angriffe aus. Wer solche zentralen Geschäftssysteme direkt aus dem Internet erreichbar hält, muss davon ausgehen, dass Angreifer neue Schwachstellen sehr schnell aufgreifen.

Warum ist das gefährlich?

Oracle Payments verarbeitet Zahlungsvorgänge und ist damit eng mit sensiblen Finanz- und Geschäftsdaten verbunden. Eine Übernahme dieses Moduls gibt Angreifern einen Zugang tief in geschäftskritische Abläufe. Da die Lücke ohne Anmeldung und mit geringem Aufwand ausnutzbar ist, genügt eine erreichbare, ungepatchte Instanz. Der Weg vom ersten Zugriff bis zum Datendiebstahl oder zur weiteren Ausbreitung im Netzwerk ist dann kurz.