Ing. Calogero Bono
Oracle a publié le 20 octobre 2026 son Critical Patch Update avec 1295 nouveaux correctifs de sécurité. Quelques jours plus tard, le 27 octobre, la société de threat intelligence Defused Cyber a signalé des tentatives d'exploitation exploratoires contre une faille d'Oracle E-Business Suite, la CVE-2026-101767, dotée d'un score CVSS de 9.8. Cela concerne tous ceux qui gèrent l'ERP d'entreprise d'Oracle, car les données en jeu peuvent être comptables, salariales ou liées aux achats. Si tu n'as pas encore appliqué le correctif, tu te trouves dans la fenêtre la plus délicate.
Quelques termes avant d'entrer dans les faits. CVE est le code qui identifie de manière unique une vulnérabilité. CVSS est l'échelle de 0 à 10 qui mesure sa gravité. RCE signifie exécution de code à distance, c'est-à-dire lancer des commandes sur le serveur d'un tiers. L'injection SQL consiste à insérer des instructions de base de données dans une requête web. EBS désigne Oracle E-Business Suite, la suite de gestion.
Ce qu'Oracle a publié en octobre
Selon le bulletin officiel d'Oracle, le Critical Patch Update contient 1295 nouveaux correctifs pour plusieurs familles de produits. Pour les seuls produits de base de données, il en annonce 14 nouveaux, auxquels s'ajoutent ceux de tiers. Parmi eux, 4 vulnérabilités peuvent être exploitées à distance sans authentification. Le tableau mentionne par exemple une faille OpenSSL dans la base de données, avec un score de 9.8.
Oracle rappelle que les correctifs ne sont fournis que pour les versions couvertes par le Premier Support ou le Extended Support. Les versions hors support ne sont même plus testées. L'entreprise écrit aussi recevoir régulièrement des signalements d'attaques contre des vulnérabilités déjà corrigées. Dans certains cas, les attaquants y sont parvenus parce que les clients n'avaient pas appliqué les correctifs.
Comment fonctionne la faille CVE-2026-101767 ?
Il s'agit d'un problème d'authentification dans l'Application Object Library d'EBS. Selon The Hacker News, les chercheurs de Horizon3.ai Brandon Peterson, Jimi Sebree et Noah King l'ont signalée à Oracle le 24 juillet 2026.
La chaîne d'attaque
Horizon3.ai la décrit comme une injection SQL non authentifiée dans le servlet Thin Client Framework, qui peut être enchaînée jusqu'à l'exécution de code à distance. Une requête construite avec soin vers le chemin /OA_HTML/AppsTCFServer permet d'exécuter du SQL avec les privilèges de l'utilisateur de base de données APPS. De là, on accède aux commandes du système d'exploitation avec les privilèges du compte applicatif d'EBS.
Quelles données sont menacées
Horizon3.ai avertit que, selon l'installation, les données concernées peuvent inclure les registres financiers, les salaires, les ressources humaines et les achats. Les systèmes exposés sur internet sont les plus à risque. Les systèmes internes peuvent aussi être touchés si l'attaquant atteint le servlet depuis un système compromis ou depuis un autre segment du réseau.
Qui cherche les systèmes vulnérables ?
Defused Cyber a déclaré que ses systèmes leurres ont enregistré des exploits exploratoires contre la CVE-2026-101767 le 27 octobre. BleepingComputer précise qu'Oracle n'a pas encore classé la faille comme activement exploitée. Shadowserver recense plus de 670 instances EBS exposées, surtout avec des adresses américaines, mais ne dit pas combien sont des leurres ou déjà protégées.
Le contexte compte. Les sources rappellent que la CVE-2025-61882 a été utilisée par le groupe d'extorsion Clop, et qu'une autre faille de PeopleSoft a été exploitée par ShinyHunters. Selon BleepingComputer, depuis novembre 2021 la CISA a ajouté 46 failles Oracle à la liste des vulnérabilités activement exploitées, dont 13 utilisées aussi dans des attaques par rançongiciel.
Que faire si tu ne peux pas mettre à jour tout de suite
Les mises à jour restent la première réponse. Si ce n'est pas possible, The Hacker News relaie ces mesures.
- Retirer /OA_HTML/AppsTCFServer de la liste d'autorisation du pare-feu d'URL d'EBS.
- Limiter l'accès à la couche web d'EBS aux réseaux de confiance.
- Surveiller l'hôte applicatif et la base de données pour détecter des signes de compromission.
Horizon3.ai indique aussi des indicateurs de compromission. Il s'agit de requêtes POST non authentifiées vers /OA_HTML/AppsTCFServer, d'une reconnaissance SQL juste après, de fichiers inattendus dans $APPLPTMP et du compte oracle qui lance /bin/sh via le Concurrent Manager. Oracle prévient que bloquer des protocoles ou retirer des privilèges peut casser des fonctions applicatives, il faut donc tester d'abord sur des systèmes hors production.
Limites à connaître
Aucune confirmation d'exploitation active n'a été donnée par Oracle. Defused parle de tentatives exploratoires sur des systèmes leurres, pas d'intrusions réussies. Nous ne savons pas combien d'instances exposées sont encore vulnérables, car Shadowserver ne fait pas la distinction. Le tableau d'Oracle dont nous disposons est en outre tronqué, donc nous ne pouvons pas reprendre toutes les vulnérabilités du cycle. La situation peut évoluer vite, notamment si un code d'exploitation public apparaît.
Ce qui change pour ceux qui travaillent dans le numérique
Si ton entreprise ou celle d'un client utilise EBS, le correctif n'est plus à planifier, il est à appliquer. Le délai entre la correction et les premiers scans a été d'une semaine. Vérifie si le servlet est accessible depuis internet et qui peut l'atteindre depuis le réseau interne.
Ceux qui développent des intégrations sur EBS devraient reconstituer l'inventaire des instances et des versions. Ceux qui gèrent des serveurs pour d'autres doivent savoir quels systèmes sont hors support, car pour ceux-là aucun correctif n'arrivera. Sur le plan organisationnel, un hébergement avec mises à jour de sécurité gérées peut retirer une partie de cette course à l'entreprise. Nous avons déjà abordé le thème de l'attaquant qui automatise la recherche de failles en parlant de l'hacker IA autonome et des PME italiennes.
Notre avis
La nouvelle n'est pas la faille en soi, mais la rapidité. Une semaine entre le correctif et les premières sondes signifie que le calendrier trimestriel de nombreuses entreprises est trop lent pour un logiciel exposé. Oracle a raison d'insister pour appliquer les correctifs sans délai, mais un bulletin avec 1295 corrections est difficile à digérer pour une petite entreprise qui n'a qu'un seul administrateur système.
Nous pointons un problème. Les progiciels de gestion centraux, pleins de données sur les salaires et les fournisseurs, restent souvent accessibles depuis des réseaux trop larges parce que personne ne veut y toucher. Réduire la surface exposée coûte moins cher que n'importe quel incident. Ceux qui n'ont pas d'équipe interne devraient traiter la sécurité des logiciels en entreprise comme un processus continu et non comme une intervention ponctuelle.
Questions fréquentes
La CVE-2026-101767 est-elle déjà exploitée activement ?
Il n'existe pas de confirmation officielle. Oracle ne l'a pas encore classée comme exploitée, mais Defused Cyber a enregistré des tentatives exploratoires le 27 octobre sur ses propres systèmes leurres.
Quelle est la gravité de la faille ?
Elle a un score CVSS de 9.8. Selon BleepingComputer, elle permet à un attaquant non authentifié disposant d'un accès HTTP de prendre le contrôle du système avec des attaques de faible complexité.
Quels systèmes sont concernés ?
Oracle E-Business Suite, en particulier l'Application Object Library et le servlet Thin Client Framework. Les sources fournies ne listent pas ici les versions concernées, donc consulte le bulletin d'Oracle.
Que puis-je faire si je ne peux pas appliquer le correctif ?
Retire le chemin /OA_HTML/AppsTCFServer de la liste d'autorisation du pare-feu et limite l'accès à la couche web aux réseaux de confiance. Surveille l'hôte et la base de données. Teste chaque modification d'abord sur un environnement hors production.
Les systèmes internes sont-ils eux aussi à risque ?
Oui. Selon The Hacker News, un système interne peut être touché si l'attaquant atteint le servlet depuis une machine compromise ou depuis un autre segment du réseau.
Trois actions pour les prochaines semaines
Dans les prochains mois, surveille si Oracle et la CISA classeront la faille comme activement exploitée, et si des exploits publics apparaîtront. En attendant, commence par ici.
- Applique le Critical Patch Update d'octobre aux instances EBS, en commençant par celles qui sont exposées.
- Vérifie dans les journaux les requêtes vers /OA_HTML/AppsTCFServer et les indicateurs de Horizon3.ai.
- Dresse la liste des versions hors support et planifie la mise à niveau.
