情報取得日: 2026/07/15／最終確認: 2026/08/10・本ページは公開情報の非公式まとめです
| CVE ID | CVE-2026-46817 |
|---|---|
| 製品 | Oracle / E-Business Suite (Oracle Payments / File Transmission, 12.2.3-12.2.15) |
| CVSS | 9.8（Critical） CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
| 種別 (CWE) | CWE-269 Improper Privilege Management |
| 登録／公開日 | 2026/07/15 |
| KEV 期限 | 2026/07/18 まで（米国連邦機関向け目安） |
| 出典 | https://nvd.nist.gov/vuln/detail/CVE-2026-46817 |
Oracle E-Business Suite の Oracle Payments（File Transmission コンポーネント）に、HTTP経由でネットワークアクセスできる未認証攻撃者が低難度で悪用可能な欠陥がある。CVSS 9.8・攻撃成功で Oracle Payments を掌握され、機密財務データの窃取やシステム乗っ取りにつながる。Oracle は2026年5月のCritical Patch Updateで修正（対象 12.2.3〜12.2.15）したが、6月下旬にハニーポットで実際の悪用が観測され、900台超のインターネット公開インスタンスが攻撃対象になっているとの報告がある。CISA KEV に 2026-07-15 追加。
各ベンダー公式アドバイザリで確認できた事実に基づき整理しています。確認できていない項目は「情報確認中」と明記し、存在しないパッチ番号・バージョンは記載しません。
| 環境 | 対応状況 | 対応方法・備考 |
|---|---|---|
| AWS (ECS/EC2) | パッチあり（アプリ更新） |
EC2等の上でEBSを運用している場合はOracleの2026年5月CPUを適用。公開が必要ならWAF/セキュリティグループでアクセス元を限定。
顧客管理アプリの脆弱性。AWS固有アドバイザリではなくOracleのパッチで対応。
参照リンク
|
| GCP | パッチあり（アプリ更新） |
Compute Engine上でEBSを運用している場合はOracleの2026年5月CPUを適用し、公開範囲を制限。
顧客管理アプリ側の更新で対応。
参照リンク
|
| Azure | パッチあり（アプリ更新） |
Azure VM上でEBSを運用している場合はOracleの2026年5月CPUを適用し、公開範囲を制限。
顧客管理アプリ側の更新で対応。
参照リンク
|
| Linux | パッチあり（アプリ更新） |
EBSはLinux(多くはOracle Linux)上で稼働するが、修正はOSパッケージではなくOracleのCPUパッチ適用。インターネット公開を避ける。
ディストリのパッケージ更新ではなくアプリ(Oracle EBS)のパッチで対応。
参照リンク
|
Oracle EBS を運用している場合、2026年5月のCPUパッチを直ちに適用する。管理・決済コンポーネントのインターネット直接公開を避け、WAF/リバースプロキシ/アクセス制限の背後に置く。異常なHTTPリクエストや不審なファイル送信の痕跡を点検する。
Critical（CVSS 9.8）に分類されるOracle E-Business Suite (Oracle Payments / File Transmission, 12.2.3-12.2.15)の脆弱性です。Oracle E-Business Suite の Oracle Payments（File Transmission コンポーネント）に、HTTP経由でネットワークアクセスできる未認証攻撃者が低難度で悪用可能な欠陥がある。CVSS 9.8・攻撃成功で Oracle Payments を掌握され、機密財務データの窃取やシステム乗っ取りにつながる。Oracle は2026年5月のCritical Patch Updateで修正（対象 12.2.3〜12.2.15）したが、6月下旬にハニーポットで実際の悪用が観測され、900台超のインターネット公開インスタンスが攻撃対象になっているとの報告がある。CISA KEV に 2026-07-15 追加。
Oracle EBS を運用している場合、2026年5月のCPUパッチを直ちに適用する。管理・決済コンポーネントのインターネット直接公開を避け、WAF/リバースプロキシ/アクセス制限の背後に置く。異常なHTTPリクエストや不審なファイル送信の痕跡を点検する。
Oracle E-Business Suite (Oracle Payments / File Transmission, 12.2.3-12.2.15) を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-46817）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。
はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2026/07/18 です。早急な対応が推奨されます。
掲載後に NVD・CISA KEV 側で確定した変化を、日次の自動突合で記録したものです（新しい順）。掲載前の変化は記録がないため含みません。
本ページの記載は下記の一次情報に基づく非公式まとめです。数値・対応状況は各出典元で最終確認してください（最終確認: 2026/08/10）。