Chi gestisce un'installazione di Oracle E-Business Suite (EBS) ha una nuova, concreta ragione per controllare subito lo stato delle patch. La vulnerabilità CVE-2026-46817, con punteggio CVSS 9.8, riguarda il componente di trasmissione file del modulo Oracle Payments e permette a un attaccante non autenticato, con il solo accesso HTTP all'applicazione, di prendere il controllo del sistema attraverso richieste di complessità bassa. Sono interessate le versioni da 12.2.3 a 12.2.15, cioè la quasi totalità dei parchi installati ancora in uso presso aziende ed enti.

Oracle aveva già corretto il difetto con l'aggiornamento di sicurezza critico di maggio 2026, ma la falla è rimasta silenziosa fino a quando, il 27 giugno, gli honeypot della piattaforma di monitoraggio Defused hanno registrato i primi tentativi di sfruttamento: sei richieste di lettura file non autenticate provenienti da un singolo indirizzo, dirette contro l'endpoint /OA_HTML/ibytransmit di Oracle iPayment. La cosa che deve preoccupare non è tanto la tecnica in sé, ma la tempistica: gli attacchi sono iniziati prima che esistesse un proof-of-concept pubblico, segno che chi li ha condotti ha avuto accesso a informazioni tecniche approfondite sulla patch, probabilmente ricavate confrontando il codice corretto con quello vulnerabile (un procedimento noto come patch diffing). Secondo i dati di Shadowserver, il volume è salito rapidamente: 456 richieste malevole registrate in un solo giorno, il 28 giugno, distribuite su più regioni del mondo.

Cosa significa per le aziende italiane

Oracle E-Business Suite è tra gli ERP più diffusi nella media e grande impresa italiana, spesso al centro dei processi contabili, degli acquisti e, per l'appunto, dei pagamenti verso fornitori e dipendenti. Una compromissione del modulo Payments non è un incidente da relegare al reparto IT: espone dati finanziari, anagrafiche di fornitori e potenzialmente le credenziali usate per disporre bonifici, con un rischio diretto di frode e di manomissione dei flussi di pagamento. Le organizzazioni più esposte sono quelle che, per vincoli di continuità operativa o per la complessità delle personalizzazioni, hanno rimandato l'applicazione della Critical Patch Update di maggio: sono esattamente il bersaglio che gli attaccanti stanno cercando in questi giorni, perché la finestra tra un aggiornamento disponibile e la sua reale installazione resta, in molte realtà italiane, di settimane se non mesi.

Il quadro normativo

Per le imprese che rientrano nel perimetro NIS2 (media e grande impresa in settori essenziali o importanti) o soggette a obblighi settoriali come DORA nel comparto finanziario, un sistema ERP che gestisce pagamenti rientra tra gli asset critici da proteggere con misure di gestione del rischio informatico documentate. Se lo sfruttamento della falla porta a un incidente con impatto significativo su servizi essenziali, scatta l'obbligo di notifica preliminare ad ACN entro 24 ore e la relazione dettagliata entro 72, secondo le tempistiche previste dal decreto di recepimento NIS2. Un ERP compromesso che coinvolge dati personali di dipendenti o clienti (ad esempio coordinate bancarie) può inoltre configurare un data breach ai sensi del GDPR, con l'obbligo di valutare la notifica al Garante Privacy entro 72 ore dalla scoperta.

Cosa fare subito

  • Verificare la versione installata di Oracle E-Business Suite e confermare che sia stata applicata la Critical Patch Update di maggio 2026 che corregge CVE-2026-46817.
  • Se la patch non è ancora applicata, considerare come mitigazione temporanea la restrizione dell'accesso esterno all'endpoint /OA_HTML/ibytransmit e agli altri percorsi del modulo Oracle Payments non strettamente necessari da internet.
  • Analizzare i log del web server alla ricerca di richieste POST verso ibytransmit con payload XML anomali, in particolare riferimenti a percorsi di sistema come /etc/passwd.
  • In presenza di indicatori di compromissione, isolare l'istanza, avviare la procedura di incident response e valutare, con il proprio DPO, se ricorrono i presupposti per la notifica al Garante o ad ACN.
  • Verificare se l'istanza EBS è raggiungibile da internet senza reale necessità: dove possibile, portarla dietro VPN o segmentarla dalla rete aziendale generale.