文章总结： 网络安全厂商DefusedCyber披露Oracle电子商务套件高危漏洞CVE-2026-46817正遭野外利用，该漏洞CVSS评分9.8，影响OraclePayments12.2.3-12.2.15版本，允许未认证攻击者通过HTTP协议接管服务器。甲骨文已在上月关键补丁更新中修复，建议用户立即部署补丁。文档同时提及CVE-2026-35273漏洞被列入已知被利用目录，以及ShinyHunters组织在补丁发布前的零日攻击活动。 综合评分： 82 文章分类： 漏洞分析,威胁情报,漏洞预警,WEB安全,应用安全

攻击者正在积极利用 Oracle 电子商务套件漏洞 CVE-2026-46817

鹏鹏同学 鹏鹏同学

黑猫安全

2026年7月1日 08:54 湖北

在小说阅读器读本章

去阅读

网络安全厂商 Defused Cyber 发布消息称，编号为 CVE-2026-46817 的 Oracle 电子商务套件高危漏洞正遭到野外持续利用。

这家安全厂商在 X 平台发帖表示：“CVE-2026-46817（CVSS 评分 9.8，Oracle E-Business 无认证 HTTP 权限接管漏洞）已出现攻击利用行为。上周末，我们观测到攻击者利用该漏洞对我方部署的 Oracle E-Business 蜜罐发起攻击。该漏洞此前暂无公开利用记录，也未流出 POC 利用代码。”

🚨 预警：CVE-2026-46817（CVSS 9.8，Oracle E-Business 无认证 HTTP 服务器接管漏洞）正在被攻击者利用上周末，我们监测到威胁分子利用该漏洞攻击 Oracle E-Business 蜜罐。该漏洞无历史利用案例，目前不存在公开 POC 代码。

——Defused Cyber（@DefusedCyber），2026 年 6 月 29 日

该漏洞影响 Oracle Payments 12.2.3 至 12.2.15 所有版本，未认证攻击者可通过 HTTP 协议控制目标服务器。甲骨文已在上月的关键补丁更新中修复此问题，并强烈建议客户尽快完成补丁部署。

Defused Cyber 并未披露本次攻击的技术细节以及攻击者的行动动机。6 月中旬，美国网络安全与基础设施安全局（CISA）将另一款甲骨文漏洞录入已知被利用漏洞目录（KEV），漏洞编号 CVE-2026-35273，CVSS 评分同样为 9.8，漏洞产品为 Oracle PeopleSoft Enterprise PeopleTools。

Oracle PeopleSoft Enterprise PeopleTools 是用于开发、运维、管理与定制 PeopleSoft 业务系统的底层技术平台。CVE-2026-35273 属于远程代码执行漏洞，位于环境管理组件。攻击者无需账号权限、无需用户交互，只要能够访问环境管理中心接口，就能拿下整台服务器。

甲骨文正式发布漏洞通告的次日，曼迪安公司与谷歌威胁情报团队于 6 月 11 日披露了 ShinyHunters 组织的活跃攻击活动。时间窗口值得警惕：攻击活动从 5 月 27 日持续至 6 月 9 日，这两周内受害企业面对的是零日漏洞 —— 彼时既没有补丁，厂商也尚未发布安全预警。曼迪安通报的百余家受害机构里，68% 为高等院校，且绝大多数位于美国。

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：黑猫安全 鹏鹏同学 鹏鹏同学《攻击者正在积极利用 Oracle 电子商务套件漏洞 CVE-2026-46817》