事件背景与现状
近期，全球安全社区关注到针对 Oracle E-Business Suite (EBS) 中 Payments 模块的一个关键漏洞（CVE-2026-46817）的在野攻击活动。据监测，早在 2026 年 6 月下旬，攻击者便开始利用该漏洞进行针对性尝试。从我们的应急响应经验来看，攻击者往往在补丁发布后的极短时间内完成武器化开发，此次攻击发生在补丁发布约六周后，且攻击者显然经过精心准备，并非简单的盲目扫描。
攻击链深度解析
CVE-2026-46817 存在于 Oracle Payments 的文件传输组件中，根源在于权限管理不当及关键功能缺乏身份验证。攻击者通过构造针对 ibytransmit 端点的请求，直接调用内部 Oracle Java 函数，从而实现未授权的文件读取。
在监测到的案例中，攻击者尝试获取服务器上的 /etc/passwd 文件。这一环节是很多企业容易忽视的，因为这类文件读取漏洞往往被视为“信息泄露”，但实际上，它能为攻击者提供进一步渗透的跳板。一旦攻击者读取到包含数据库凭据、加密密钥或支付处理 API 密钥的配置文件，整个系统的防御体系将彻底崩溃。
技术手法与风险点
该漏洞允许未经身份验证的远程攻击者通过 HTTP 请求直接接管 Payments 组件。由于 Payments 模块在 EBS 中处于核心地位，负责财务应用的支付流转，一旦该组件失陷，企业不仅面临数据泄露风险，还可能遭受直接的经济损失。
类似攻击近年来明显增加，特别是针对企业级 ERP 系统这类“资产重地”的攻击，攻击者表现出极高的战术素养。通过直接调用内部 Java 函数绕过常规校验，是此类高阶漏洞的典型特征。
安全建议与 Solar 经验
针对此次安全事件，Solar 应急响应团队建议采取以下紧急措施：
首先，立即核查系统版本。受影响范围涵盖 Oracle E-Business Suite 12.2.3 至 12.2.15 版本。请务必确认是否已应用 2026 年 5 月的重大补丁更新（CPU）。
其次，实施访问控制。对于尚未完成补丁更新的 EBS 实例，必须立即将其从公网隔离，仅允许内部网络访问。暴露在公网上的 EBS 实例极易成为攻击者眼中的“低垂果实”。
第三，日志审计与溯源。安全团队应重点排查针对 /OA_HTML/ibytransmit 的异常 POST 请求。如果发现任何异常访问痕迹，应视为系统已被入侵，必须立即开展全方位的取证调查，并强制重置该主机上存储的所有凭据和 API 密钥。
最后，从长远来看，建议企业重新评估 EBS 安装的互联网暴露面。在业务允许的前提下，尽量减少不必要的公网映射，采用 VPN 或零信任接入方案替代直接暴露。
如果您想了解勒索病毒的最新发展趋势，或在实际业务中遇到类似安全事件，欢迎关注“Solar应急响应团队”。
全国热线：400-613-6816 官网：www.solarsecurity.cn / www.sierting.com