Innerhalb der E‑Business Suite Zahlungskomponente in Oracle ist aktiven Angriffen ausgesetzt

Anbieter zum Thema

Widas ID GmbH

Vogel IT-Medien GmbH

Arvato Systems GmbH

Eine kritische Schwachstelle in Oracle Payments ermöglicht nicht authentifizierten Angreifern die vollständige Systemübernahme. Da das Modul Zahlungsinformationen verarbeitet, könnten Angreifer Zugriff auf hochsensible Finanztransaktionen von Unternehmen erlangen.

In Oracle Payments, dem zentralen Zahlungs‑ und Zahlungsverkehrsmodul der Oracle E‑Business Suite, klafft eine kritische Sicherheitslücke. Die Lösung ist für die Erstellung, Validierung und Verarbeitung von Zahlungen für die Kreditorenbuchhaltung und die Debitorenbuchhaltung zuständig ist. Bei der darin enthaltenen Schwachstelle handelt es sich um EUVD-2026-33040 / CVE-2026-46817 (CVSS-Score 9.8, EPSS-Score^* 13.31.). Betroffen ist die Payments-Komponente „File Transmission“, die für das Formatieren, Übertragen und Empfangen von Zahlungsdateien, das Routing zu Zahlungsdienstleistern und das Importieren von Rückmeldungen zuständig ist. Bei erfolgreicher Ausnutzung kann ein nicht authentifizierter Angreifer mit Netzwerkzugriff über HTTP das komplette System übernehmen. Anfällig sind die Versionen 12.2.3 bis 12.2.15.

Oracle schließt 1.449 Sicherheitslücken

War das der krasseste Patchday des Jahres?

„Mehr als nur eine weitere Schwachstelle“

Oracle hat die Sicherheitslücke bereits im Mai 2026 entdeckt und behoben. Die CISA hat die Schwachstelle am 15. Juli 2026 als aktiv ausgenutzt gemeldet, indem sie sie in ihren KEV-Katalog aufgenommen hat.

Der US-Hersteller Hexnode hat die Schwachstelle genauer unter die Lupe genommen. „Für Sicherheitsteams in Unternehmen ist dies mehr als nur eine weitere CVE-Schwachstelle mit hohem Schweregrad. Die Oracle E-Business Suite bildet häufig das Rückgrat für Finanz­transaktionen, Beschaffungsprozesse und Zahlungsabläufe. Eine Kompromittierung kann daher den Geschäftsbetrieb massiv stören und Angreifern zudem einen Ausgangspunkt für Rechteausweitung sowie laterale Bewegungen in vernetzte Unternehmenssysteme bieten“, heißt es in der Analyse.

Der kritische Schweregrad entstehe, da die Schwachstelle mit gleich drei Schwachstellenklassen verknüpft ist:

• Unsachgemäße Rechteverwaltung (CWE-269)

• Fehlerhafte Authentifizierung (CWE-287)

• Fehlende Authentifizierung für eine kritische Funktion (CWE-306)

Diese Kombination senke die Hürde für einen Angriff erheblich, da weder gültige Zugangsdaten noch eine Benutzerinteraktion erforderlich sind, um die Schwachstelle auszunutzen. In Umgebungen, in denen die Oracle E-Business Suite aus dem Internet erreichbar oder unzureichend von externen Netzwerken segmentiert ist, vergrößere sich die Angriffsfläche beträchtlich, was das Risiko eines unbefugten Zugriffs auf geschäftskritische Zahlungssysteme erhöhe. Hexnodes Empfehlung lautet, einen mehrschichtigen Sicherheitsansatz zu etablieren sowie die Integration von Workflows zur Endpunkterkennung und kontinuierlichem Monitoring.

Das Einspielen von Patches sei jedoch nur ein Teil einer wirksamen Verteidigungsstrategie. Die Beschränkung des administrativen Zugriffs auf vertrauenswürdige, regelkonforme Endpunkte, die kontinuierliche Überwachung auf Anzeichen einer Kompromittierung sowie die Stärkung von Identitäts- und Endpunktkontrollen tragen dem Unified-Endpoint-Management-Spezialisten nach dazu bei, die Auswirkungen von Ausnutzungsversuchen zu minimieren und die Widerstandsfähigkeit gegenüber künftigen Angriffen auf geschäftskritische ERP-Systeme zu erhöhen.

* Hinweis zum EPSS-Score: Das Exploit Prediction Scoring System zeigt die Wahrscheinlichkeit in Prozent an, mit der eine Schwachstelle innerhalb der nächsten 30 Tage ausgenutzt wird. Der ent­sprechende Score kann sich im Laufe der Zeit verändern. Sofern nicht anders angegeben, beziehen wir uns auf den Stand des EPSS-Scores zum Zeitpunkt der Veröffentlichung des Artikels.

CISA warnt vor aktiv ausgenutzter CVE-2024-21182

Alte Oracle-WebLogic-Lücke gefährdet über 1.500 ungepatchte Server

(ID:50914668)