「Oracle EBS」やビル設備向けプロトコルの脆弱性を悪用する攻撃

米当局は、「Oracle E-Business Suite」やビル設備などで利用される「KNXプロトコル」の脆弱性が、サイバー攻撃に悪用されているとして注意喚起を行った。

米サイバーセキュリティインフラストラクチャセキュリティ庁（CISA）は現地時間2026年7月15日、悪用が確認されているとして「CVE-2026-46817」「CVE-2023-4346」を「悪用が確認された脆弱性カタログ（KEV）」へ追加した。

「CVE-2026-46817」は、企業向け業務アプリケーション「Oracle E-Business Suite」に関する権限管理不備の脆弱性。HTTP経由でネットワーク接続できる場合、認証を必要とすることなく悪用が可能。

攻撃が成功した場合、「Oracle Payments」を乗っ取られる可能性がある。同庁では同製品を利用する米国内の行政機関に対して、3日後の7月18日までに対応するよう求めた。

「CVE-2023-4346」は、ビル設備などで制御通信に用いられるKNXプロトコルの脆弱性。2023年に報告されている。

追加のセキュリティオプションが有効化されていないすべての機器で消去処理が実行され、BCUキーを設定されて機器がロックされるおそれがある。同庁では対応期限を7月29日とし、注意を呼びかけている。

（Security NEXT - 2026/07/16 ）ツイート