Lỗ hổng bảo mật này được phát hiện trong thành phần truyền tệp tin của Oracle EBS Payments, cho phép các tác nhân độc hại không được xác thực có quyền truy cập mạng HTTP và chiếm quyền kiểm soát các hệ thống dễ bị tổn thương thông qua các cuộc tấn công có độ phức tạp thấp.

Oracle đã phát hành các bản vá để khắc phục lỗ hổng này với bản cập nhật bảo mật tháng 5/2026 và kêu gọi khách hàng vá lỗi hệ thống của họ ngay lập tức. Mặc dù hãng vẫn chưa chính thức thông báo lỗ hổng CVE-2026-46817 đã bị khai thác trên thực tế, nhưng Defused cho biết hôm 29/6 rằng tin tặc hiện đang tích cực khai thác lỗ hổng này.

“CVE-2026-46817, một lỗ hổng chiếm quyền điều khiển HTTP không cần xác thực (điểm CVSS: 9.8) trong Oracle E-Business đang bị khai thác. Mới đây, chúng tôi đã phát hiện một kẻ tấn công khai thác lỗ hổng này trên hệ thống honeypot Oracle E-Business của chúng tôi. Lỗ hổng này chưa từng bị khai thác trước đây và không có mã POC nào được công khai”, cảnh báo cho biết.

Khai thác lỗ hổng CVE-2026-46817 (Nguồn: Defused)

Tổ chức giám sát an ninh mạng Shadowserver hiện đang theo dõi hơn 450 phiên bản Oracle EBS đang tiếp xúc trên môi trường Internet, trong đó gần 200 phiên bản ở Mỹ và châu Âu. Tuy nhiên, hiện chưa có thông tin về việc bao nhiêu trong số đó đã được bảo vệ khỏi các cuộc tấn công đang diễn ra.

Trước đây, nhóm tin tặc Clop đã khai thác một lỗ hổng bảo mật khác của Oracle EBS (CVE-2025-61882) trong các cuộc tấn công zero-day nhắm vào nhiều trường đại học của Mỹ (bao gồm Đại học Harvard, Đại học Pennsylvania, Đại học Dartmouth và Đại học Phoenix), tờ Washington Post, Logitech và GlobalLogic kể từ đầu tháng 8/2025.

Đầu tháng 6/2026, Cơ quan An ninh mạng và Cơ sở hạ tầng Mỹ (CISA) từng cảnh báo về một lỗ hổng nghiêm trọng của Oracle WebLogic Server (CVE-2024-21182) đã được vá cách đây hai năm, hiện đang bị khai thác tích cực trong các cuộc tấn công.

Vài tuần sau, công ty đã khắc phục một lỗ hổng zero-day nghiêm trọng trong bộ phần mềm PeopleSoft Suite (CVE-2026-35273), vốn bị khai thác triệt để trong các cuộc tấn công đánh cắp dữ liệu ShinyHunter và cho phép thực thi mã từ xa mà không cần xác thực.

Trong vài năm trở lại đây, CISA đã xác định 44 lỗ hổng bảo mật trên nhiều sản phẩm khác nhau của Oracle đã bị khai thác trong thực tế, trong đó 13 lỗ hổng cũng bị lợi dụng trong các cuộc tấn công mã độc tống tiền.