CERT Polska ostrzegł 1 lipca przed aktywnym wykorzystywaniem podatności CVE-2026-46817 w Oracle E-Business Suite. Według komunikatu błąd w Oracle Payments pozwala nieuwierzytelnionemu atakującemu przejąć podatną instancję. Jeśli płatności w Twojej firmie przechodzą przez Oracle EBS, właściciel tego procesu powinien jeszcze w tym tygodniu uzgodnić z IT sprawdzenie instancji i plan działań naprawczych.

Kto w firmie wie dziś, które instancje Oracle E-Business Suite obsługują płatności i czy są podatne na CVE-2026-46817? Wygodna odpowiedź z działu finansów brzmi: „IT na pewno to ma”. Równie wygodne założenie w IT: „finanse dałyby znać, gdyby sprawa była pilna”. Obie strony mają rację co do podziału kompetencji i obie mogą się mylić co do tego, kto pierwszy zareaguje. Komunikat CERT Polska z 1 lipca jest dobrym momentem, żeby tę wymianę założeń zastąpić jedną rozmową z konkretnym wynikiem. Ostrzeżenie dotyczy modułu Oracle Payments, czyli części systemu, za którą biznesowo odpowiada zwykle ktoś spoza IT. Ta osoba nie musi znać wersji oprogramowania. Musi natomiast wiedzieć, kogo zapytać i jakiej odpowiedzi oczekiwać, zanim zamknie temat.

Oracle Payments i przejęcie instancji bez logowania

Jak podaje CERT Polska, podatność CVE-2026-46817 znajduje się w Oracle Payments, a jej wykorzystanie nie wymaga uwierzytelnienia. Atakujący nie potrzebuje więc konta w systemie ani skradzionego hasła pracownika. Według komunikatu skutkiem może być przejęcie podatnej instancji Oracle E-Business Suite.

Dla właściciela procesu płatności to zmienia charakter ryzyka. Zabezpieczenia oparte na kontach, rolach i zatwierdzaniu przelewów chronią przed nadużyciem ze strony użytkownika, który się loguje. Przy błędzie, który pozwala ominąć logowanie, te mechanizmy nie są pierwszą linią obrony. Pierwszą linią jest stan samej instancji: jej wersja, zastosowane poprawki i to, skąd jest osiągalna.

Komunikat mówi o aktywnym wykorzystywaniu podatności. Z faktów, na których opieramy ten tekst, nie wynika, kto stoi za atakami, ile organizacji dotknęły ani czy wśród nich są firmy z Polski. Te niewiadome nie zmieniają zadania. Sprawdzenie własnych instancji ma sens niezależnie od tego, czy ktoś je już wybrał na cel.

Przy błędzie, który nie wymaga logowania, kontrola uprawnień w procesie płatności przestaje być pierwszą linią obrony.

Właściciel procesu i administrator patrzą na inną listę

Procedury zarządzania zmianą zwykle zakładają, że aktualizację systemu zgłasza IT, a biznes ją akceptuje. Przy CVE-2026-46817 ta kolejność może zawieść w prosty sposób. Administrator Oracle E-Business Suite widzi instancje i wersje. Właściciel procesu płatności widzi obieg dokumentów, terminy zapłaty i okna, w których system nie może stanąć. Żadna z tych list nie odpowiada sama na pytanie, czy podatna instancja obsługuje dziś płatności.

Do tego dochodzą środowiska, o których łatwo zapomnieć. Kopia testowa, instancja do migracji czy środowisko szkoleniowe mogą zawierać moduł Oracle Payments, choć nikt z finansów z nich nie korzysta. Jeśli inwentaryzacja obejmuje tylko produkcję, sprawdzenie ominie część instancji.

Nie zakładamy, że w Twojej organizacji tak się stało. Proponujemy jedynie, żeby rozmowa z IT zaczęła się od wspólnej listy instancji Oracle EBS z modułem Oracle Payments, z zaznaczeniem, które z nich obsługują proces płatności, a które nie.

Okno serwisowe dla płatności ustala właściciel procesu

Działania naprawcze po ostrzeżeniu z 1 lipca mogą wymagać przerwy w pracy systemu. O tym, kiedy można wstrzymać płatności, decyduje właściciel procesu, a nie administrator. Jeśli ta decyzja zapadnie dopiero wtedy, gdy IT poprosi o okno serwisowe, naprawa poczeka na kalendarz księgowości.

Druga decyzja dotyczy tego, co zrobić z instancją, której nie da się szybko naprawić. Właściciel procesu powinien wiedzieć, jakie działania tymczasowe zaproponuje IT i jakie mają skutki dla obiegu płatności. Przejęcie instancji obsługującej płatności dotyka operacji finansowych, więc akceptacja tego ryzyka nie powinna zapaść wyłącznie po stronie technicznej.

W tekście celowo nie podajemy daty ani numeru poprawki. Identyfikację właściwej poprawki dla CVE-2026-46817 IT powinno potwierdzić bezpośrednio w komunikacie CERT Polska i dokumentacji Oracle, a wynik zapisać przy każdej instancji.

O oknie serwisowym dla systemu płatności powinien decydować właściciel procesu, zanim IT poprosi o termin.

Ostrzeżenie CERT Polska jako punkt odniesienia

Dla polskiej organizacji komunikat CERT Polska z 1 lipca jest wygodnym punktem wspólnym dla finansów i IT. Obie strony mogą się do niego odwołać w zgłoszeniu wewnętrznym. Do zadania dołączmy link, żeby administrator i właściciel procesu odnosili swoje odpowiedzi do tego samego tekstu.

Zachowajmy przy tym atrybucję. Informacja o aktywnym wykorzystywaniu CVE-2026-46817 pochodzi z komunikatu CERT Polska. Sam komunikat nie jest dowodem ataku na Twoją firmę. Wynik sprawdzenia własnych instancji Oracle E-Business Suite zapiszmy więc osobno od treści ostrzeżenia.

Co z tym zrobić w poniedziałek

  1. Poproś IT o listę instancji. Zleć zestawienie wszystkich instancji Oracle E-Business Suite z modułem Oracle Payments, łącznie z testowymi, wraz z informacją, czy są podatne na CVE-2026-46817. Do zlecenia dołącz komunikat CERT Polska z 1 lipca.
  2. Wskaż instancje krytyczne dla płatności. Na otrzymanej liście zaznacz, które instancje obsługują bieżący proces płatności, i podaj IT okna, w których możliwa jest przerwa w ich pracy.
  3. Ustal warunek zamknięcia zadania. Zapisz, że zadanie uznasz za zamknięte, gdy przy każdej instancji pojawi się potwierdzona poprawka albo opisane działanie tymczasowe z nazwiskiem osoby odpowiedzialnej i terminem.

Ostrzeżenie o CVE-2026-46817 dotyczy systemu, za którego działanie odpowiada biznes, choć utrzymuje go IT. Jeśli żadna ze stron nie zainicjuje rozmowy, podatna instancja może pozostać bez właściciela decyzji. Właściciel procesu płatności nie musi znać szczegółów błędu, żeby zażądać listy instancji i dowodu naprawy.

Źródła

  1. CERT Polska: Krytyczna podatność w Oracle E-Business Suite, publikacja: 1 lipca 2026 r.

Redakcja cyberinsight.pl.