Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Aktif istismar
  • CWE-269
  • CWE-287
  • CWE-306

CVE-2026-46817

Oracle E-Business Suite Oracle Payments'ta kimlik doğrulamasız yetki yönetimi açığı

Oracle Corporation Oracle Payments

Kritik 9,8 CVSS 3.1
Yayımlandı
Güncellendi
16 Tem 2026
Açık yaşı
152 gün
Kaydı açan
oracle
Saldırılarda kullanılıyor CISA, bu açığın gerçek saldırılarda kullanıldığını doğruladı ve 15 Tem 2026 tarihinde KEV listesine ekledi. ABD kamu kurumlarına verilen son yama tarihi: 18 Tem 2026.

Yönetici özeti

Ödeme süreçlerinde kullanılan Oracle Payments modülü, internetten kimlik bilgisi olmadan ele geçirilebilmektedir ve açığın aktif olarak istismar edildiği bildirilmiştir. Bu durum finansal veri kaybı, ödeme akışlarının manipülasyonu ve iş sürekliliği riski doğurur. Etkilenen sistemlerde acil müdahale gereklidir.

ÖzetTürkçe

Oracle E-Business Suite içindeki Oracle Payments ürününün File Transmission bileşeninde, yetki yönetimi ve kimlik doğrulama eksikliğinden kaynaklanan kritik bir güvenlik açığı bulunmaktadır. Açık, 12.2.3 ile 12.2.15 arasındaki desteklenen sürümleri etkilemektedir. Kimlik doğrulaması olmayan bir saldırgan, HTTP üzerinden ağ erişimiyle ve kolayca bu açığı istismar edebilir. Açık, CISA'nın bilinen istismar edilen açıklar (KEV) listesine eklenmiştir.

Saldırgan ne yapabilir?

Saldırgan, kimlik doğrulaması olmadan Oracle Payments üzerinde tam kontrol elde edebilir; gizlilik, bütünlük ve erişilebilirlik üzerinde yüksek etki oluşur. Bu durum ödeme verilerinin okunmasına, değiştirilmesine veya hizmetin kesintiye uğratılmasına yol açabilir.

Kaynaktaki açıklama (İngilizce)

Vulnerability in the Oracle Payments product of Oracle E-Business Suite (component: File Transmission). Supported versions that are affected are 12.2.3-12.2.15. Easily exploitable vulnerability allows unauthenticated attacker with network access via HTTP to compromise Oracle Payments. Successful attacks of this vulnerability can result in takeover of Oracle Payments. CVSS 3.1 Base Score 9.8 (Confidentiality, Integrity and Availability impacts). CVSS Vector: (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H).

CISA'nın önerdiği eylem (İngilizce)

Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.

Ne yapmalı?

  1. Oracle'ın güvenlik bültenini inceleyin ve Oracle Payments 12.2.3–12.2.15 sürümlerini kullanan sistemlerde satıcının yayımladığı yama veya azaltım talimatlarını gecikmeden uygulayın. Genel öneri
  2. CISA KEV gerekliliği uyarınca azaltımları satıcı talimatlarına göre uygulayın, her varlığın internet maruziyetini değerlendirin ve CISA BOD 26-04 yama yönergelerine ile adli inceleme (forensics triage) gereksinimlerine uyun. CISA
  3. Azaltımlar mümkün değilse ürünün kullanımını durdurmayı değerlendirin. CISA
  4. Yama uygulanana kadar Oracle Payments'a gelen HTTP erişimini güvenilir ağlarla sınırlayın ve sistemi doğrudan internetten erişilebilir bırakmayın. Genel öneri

Ek önlemler

  • E-Business Suite sunucularının erişim ve uygulama günlüklerini, File Transmission bileşenine yönelik olağan dışı isteklere ve olası istismar belirtilerine karşı inceleyin. Genel öneri
  • Sistemin daha önce ele geçirilmiş olabileceğini varsayarak yetkisiz hesap, yapılandırma değişikliği ve şüpheli ödeme işlemlerini kontrol edin. Genel öneri
  • Oracle E-Business Suite ortamlarını ağ güvenlik duvarı ve ters vekil arkasında tutarak yalnızca gerekli hizmetleri dışarıya açın. Genel öneri
  • Oracle'ın periyodik güvenlik yamalarını düzenli takip eden bir yama yönetimi süreci işletin. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
Oracle Corporation Oracle Payments ≥ 12.2.3, ≤ 12.2.15 –

Kaynaklar3 kaynak

Kayıt geçmişi

  1. CISA KEV listesine eklendi (saldırılarda kullanılıyor)
  2. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.