חולשה בשם CVE-2026-46817 שהתגלתה במודול Oracle Payments של מערכת הניהול הארגונית Oracle E-Business Suite (EBS) קיבלה ציון CVSS של 9.8 מתוך 10, כמעט הציון המקסימלי. מה שהופך אותה למקרה מטריד במיוחד הוא שתוקפים ניצלו אותה בזירה עוד לפני שהתפרסם קוד הדגמה (Proof of Concept) פומבי כלשהו, ממצא שמעיד על יכולת מחקר עצמאית אצל גורמי התקיפה.

סקירה כללית

Oracle E-Business Suite היא חבילת יישומים ארגוניים (ERP) שמשמשת ארגונים גדולים לניהול כספים, רכש ושכר. אחד המודולים, Oracle Payments, כולל רכיב בשם File Transmission שמטפל בהעברת קבצים בין המערכת לגורמים חיצוניים דרך נקודת קצה (endpoint) בשם ibytransmit. החולשה נובעת מהיעדר בדיקת הזדהות (authentication) בנקודת הקצה הזו: תוקף שמגיע אליה דרך HTTP, בלי שם משתמש או סיסמה, יכול לגרום למערכת לבצע עבורו פעולות רגישות, ובכך להשתלט על השרת באופן מלא.

מזהה: CVE-2026-46817
סוג: היעדר אימות לפונקציה קריטית (CWE-306), לצד ניהול הרשאות והזדהות לקויים (CWE-269, CWE-287)
מוצר: Oracle E-Business Suite, מודול Oracle Payments (רכיב File Transmission)
גרסאות מושפעות: 12.2.3 עד 12.2.15
גרסה מתוקנת: עודכן ב-Critical Patch Update של Oracle ממאי 2026
ניצול בפועל: כן, דווח על ניצול פעיל בזירה, טרם נכלל ברשימת ה-KEV של CISA נכון לכתיבת שורות אלו

ציר זמן

28 במאי 2026: Oracle משחררת את התיקון במסגרת ה-Critical Patch Update הרבעוני, מבלי לסמן את החולשה כמנוצלת.
27 ביוני 2026: חברת חקר האיומים Defused מזהה ניסיונות ניצול ראשונים בזירה, כחודש לאחר פרסום התיקון ועוד לפני שהיה קיים קוד הדגמה פומבי.
30 ביוני 2026: הממצאים מתפרסמים לציבור, ומזהירים ארגונים שעדיין לא התקינו את התיקון.

איך הניצול עובד

תוקף שולח בקשת HTTP לא מאומתת אל נקודת הקצה ibytransmit ברכיב ה-File Transmission. בשל היעדר בדיקת הרשאות, השרת מבצע את הפעולה כאילו ביקש אותה משתמש מורשה, כולל קריאה של קבצים רגישים. מכיוון שההתקפה אינה דורשת פרטי התחברות, אינטראקציה מצד משתמש, או תנאים מיוחדים, כל תוקף עם גישת רשת לשרת החשוף יכול לבצע אותה.

ניתוח ציון ה-CVSS

ציון CVSS: 9.8

גישה מרחוק ללא הזדהות שמובילה לפגיעה מלאה בכל שלושת ממדי האבטחה מעלה את הציון כמעט לרף המקסימלי. הוא נעצר ב-9.8 ולא ב-10.0 בעיקר משום ש-Scope מוגדר Unchanged, כלומר הנזק נשאר בגבולות הרכיב הפגיע.

איפה למצוא Proof of Concept (PoC)

מכיוון שהניצול בזירה קדם לכל קוד הדגמה פומבי, אין כיום PoC מבוסס בפלטפורמות הרגילות. התיעוד הטוב ביותר הוא דוח הניצול של Defused, שמתעד את ניסיונות הניצול הראשונים שזוהו בזירה.

כשתוקפים מגיעים לפני החוקרים, לוח הזמנים הרגיל של 'תיקון ואז בדיקה' מתהפך, וארגונים שמריצים Oracle E-Business Suite צריכים להתייחס לעדכון הזה כדחוף גם בלי אזהרת KEV רשמית.