Oracle E-Business Suite Payments 未認証の乗っ取り（File Transmission・実際に悪用・KEV）

情報取得日: 2026/07/15／最終確認: 2026/07/22・本ページは公開情報の非公式まとめです

CVE ID	CVE-2026-46817
製品	Oracle / E-Business Suite (Oracle Payments / File Transmission, 12.2.3-12.2.15)
CVSS	9.8（Critical） CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
種別 (CWE)	CWE-269 Improper Privilege Management
登録／公開日	2026/07/15
出典	https://nvd.nist.gov/vuln/detail/CVE-2026-46817

概要

Oracle E-Business Suite の Oracle Payments（File Transmission コンポーネント）に、HTTP経由でネットワークアクセスできる未認証攻撃者が低難度で悪用可能な欠陥がある。CVSS 9.8・攻撃成功で Oracle Payments を掌握され、機密財務データの窃取やシステム乗っ取りにつながる。Oracle は2026年5月のCritical Patch Updateで修正（対象 12.2.3〜12.2.15）したが、6月下旬にハニーポットで実際の悪用が観測され、900台超のインターネット公開インスタンスが攻撃対象になっているとの報告がある。CISA KEV に 2026-07-15 追加。

クラウド／OS 別の対応状況

各ベンダー公式アドバイザリで確認できた事実に基づき整理しています。確認できていない項目は「情報確認中」と明記し、存在しないパッチ番号・バージョンは記載しません。

環境	対応状況	対応方法・備考
AWS (ECS/EC2)	パッチあり（アプリ更新）	EC2等の上でEBSを運用している場合はOracleの2026年5月CPUを適用。公開が必要ならWAF/セキュリティグループでアクセス元を限定。顧客管理アプリの脆弱性。AWS固有アドバイザリではなくOracleのパッチで対応。参照リンク
GCP	パッチあり（アプリ更新）	Compute Engine上でEBSを運用している場合はOracleの2026年5月CPUを適用し、公開範囲を制限。顧客管理アプリ側の更新で対応。参照リンク
Azure	パッチあり（アプリ更新）	Azure VM上でEBSを運用している場合はOracleの2026年5月CPUを適用し、公開範囲を制限。顧客管理アプリ側の更新で対応。参照リンク
Linux	パッチあり（アプリ更新）	EBSはLinux(多くはOracle Linux)上で稼働するが、修正はOSパッケージではなくOracleのCPUパッチ適用。インターネット公開を避ける。ディストリのパッケージ更新ではなくアプリ(Oracle EBS)のパッチで対応。参照リンク

CVE-2026-46817 の対応手順（環境別）

確認できた公式情報に基づく環境別の対応手順です。実施前に必ず一次情報と自環境で検証してください。

AWS 環境での対応
EC2等の上でEBSを運用している場合はOracleの2026年5月CPUを適用。公開が必要ならWAF/セキュリティグループでアクセス元を限定。（顧客管理アプリの脆弱性。AWS固有アドバイザリではなくOracleのパッチで対応。）参照
GCP 環境での対応
Compute Engine上でEBSを運用している場合はOracleの2026年5月CPUを適用し、公開範囲を制限。（顧客管理アプリ側の更新で対応。）参照
Azure 環境での対応
Azure VM上でEBSを運用している場合はOracleの2026年5月CPUを適用し、公開範囲を制限。（顧客管理アプリ側の更新で対応。）参照
Linux 環境での対応
EBSはLinux(多くはOracle Linux)上で稼働するが、修正はOSパッケージではなくOracleのCPUパッチ適用。インターネット公開を避ける。（ディストリのパッケージ更新ではなくアプリ(Oracle EBS)のパッチで対応。）参照

解決の方向性（パッチ／回避策／代替）

Oracle EBS を運用している場合、2026年5月のCPUパッチを直ちに適用する。管理・決済コンポーネントのインターネット直接公開を避け、WAF/リバースプロキシ/アクセス制限の背後に置く。異常なHTTPリクエストや不審なファイル送信の痕跡を点検する。

よくある質問（CVE-2026-46817）

CVE-2026-46817（E-Business Suite）の影響は？

Critical（CVSS 9.8）に分類されるOracle E-Business Suite (Oracle Payments / File Transmission, 12.2.3-12.2.15)の脆弱性です。Oracle E-Business Suite の Oracle Payments（File Transmission コンポーネント）に、HTTP経由でネットワークアクセスできる未認証攻撃者が低難度で悪用可能な欠陥がある。CVSS 9.8・攻撃成功で Oracle Payments を掌握され、機密財務データの窃取やシステム乗っ取りにつながる。Oracle は2026年5月のCritical Patch Updateで修正（対象 12.2.3〜12.2.15）したが、6月下旬にハニーポットで実際の悪用が観測され、900台超のインターネット公開インスタンスが攻撃対象になっているとの報告がある。CISA KEV に 2026-07-15 追加。

CVE-2026-46817 の対応方法・回避策は？

自分の環境が CVE-2026-46817 の影響を受けるか確認するには？

Oracle E-Business Suite (Oracle Payments / File Transmission, 12.2.3-12.2.15) を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-46817）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。

CVE-2026-46817 は実際に悪用されている？

はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。早急な対応が推奨されます。