La Agencia de Seguridad de Infraestructura y Ciberseguridad de EE. UU. (CISA) ha ordenado a las agencias federales que aseguren sus sistemas antes del sábado contra ataques en curso que explotan una vulnerabilidad crítica en la aplicación financiera Oracle E-Business Suite (EBS).
Descubierta en el componente File Transmission del producto Oracle Payments de EBS y registrada como CVE-2026-46817, esta falla de seguridad permite a atacantes remotos no autenticados con acceso HTTP tomar el control de sistemas vulnerables en ataques de baja complejidad.
Oracle lanzó actualizaciones de seguridad para abordar el problema con su Actualización Crítica de Parches de Seguridad de mayo de 2026, instando a los clientes a parchear sus sistemas de inmediato.
En algunos casos, se ha informado que los atacantes han tenido éxito porque los clientes objetivo no aplicaron los parches de Oracle disponibles. Oracle recomienda encarecidamente que los clientes se mantengan en versiones con soporte activo y apliquen los parches de seguridad sin demora.
Si bien Oracle no había marcado CVE-2026-46817 como explotado activamente, la empresa de inteligencia de amenazas Defused informó el 29 de junio que actores maliciosos habían comenzado a explotarlo. La organización Shadowserver rastrea más de 1,000 instancias de Oracle EBS expuestas a internet, más de la mitad en Estados Unidos.
El miércoles, CISA confirmó que los hackers están explotando activamente la vulnerabilidad, la agregó a su lista de fallas de seguridad explotadas conocidas y ordenó a las agencias gubernamentales parchear las instancias vulnerables de Oracle EBS antes del sábado 18 de julio, según lo exigido por la Directiva Operativa Vinculante (BOD) 26-04.
CISA señaló que Oracle E-Business Suite contiene una vulnerabilidad de gestión de privilegios incorrecta que permite a un atacante no autenticado con acceso a la red a través de HTTP comprometer Oracle Payments, resultando en la toma de control del sistema. Estas vulnerabilidades son vectores de ataque frecuentes para actores cibernéticos maliciosos y representan riesgos significativos para la empresa federal.
.jpg)
Deja una respuesta