Des attaquants sondent déjà une vulnérabilité critique d’Oracle E-Business Suite (EBS), une semaine seulement après la publication d’un correctif de sécurité par Oracle.
La société de renseignement sur les menaces Defused Cyber a détecté des tentatives d’exploitation exploratoires visant CVE-2026-101767 le 27 octobre 2026. Notée 9,8 sur l’échelle CVSS, cette vulnérabilité concerne les versions 12.2.3 à 12.2.15 d’EBS et pourrait permettre à des attaquants non authentifiés d’exécuter des commandes à distance.
Cette faille menace les systèmes d’entreprise qui traitent des données financières, d’approvisionnement et opérationnelles. Bien que des tentatives d’exploitation aient été observées par des chercheurs, aucune compromission réussie en production impliquant spécifiquement CVE-2026-101767 n’a été confirmée publiquement.
Comment la faille d’Oracle EBS permet l’exécution de code à distance
Defused Cyber a enregistré ces tentatives dans ses systèmes leurres EBS, selon le rapport de SecurityWeek du 28 octobre. Cette activité a suivi la mise à jour critique d’Oracle du 20 octobre.
La vulnérabilité concerne le composant Core d’Oracle Application Object Library. Les chercheurs de Horizon3.ai, qui ont signalé la faille à Oracle le 24 juillet, ont identifié une injection SQL non authentifiée dans le servlet Thin Client Framework (TCF).
Les attaquants disposant d’un accès réseau au servlet peuvent exécuter des instructions SQL avec les privilèges du compte de base de données EBS APPS. Les chercheurs ont démontré que cette faille pouvait être exploitée en chaîne pour exécuter des commandes du système d’exploitation avec les privilèges du compte applicatif EBS.
Une autre attaque par injection SQL d’Oracle documentée en août a montré comment l’exploitation de fonctionnalités de base de données pouvait conduire à l’exécution de code à distance (RCE).
Le point de terminaison EBS concerné/OA_HTML/AppsTCFServer, est autorisé par la configuration par défaut du pare-feu d’URL. Une exploitation pourrait exposer des enregistrements sensibles, permettre des modifications non autorisées des données ou perturber les opérations de l’entreprise.
BleepingComputer a rapporté que la Shadowserver Foundation avait identifié plus de 670 instances EBS exposées sur Internet, principalement associées à des adresses IP américaines. Ce chiffre ne permet pas d’établir combien d’entre elles restent non corrigées ou vulnérables.
Versions d’Oracle EBS concernées et mesures d’atténuation
L’avis de sécurité d’Oracle d’octobre 2026 identifie comme concernées les versions 12.2.3 à 12.2.15 . L’exploitation ne nécessite ni authentification ni interaction de l’utilisateur et présente une faible complexité d’attaque.
Les administrateurs doivent consulter la note KA923 de My Oracle Support pour obtenir les instructions d’application du correctif. La mise à jour de sécurité d’Oracle publiée en août a corrigé 943 vulnérabilités dans ses produits, ce qui souligne les exigences en matière de correctifs auxquelles sont confrontés les administrateurs d’entreprise.
Les équipes de sécurité doivent donner la priorité à six mesures :
- Appliquez et vérifiez les correctifs de sécurité. Installez les mises à jour d’octobre applicables et confirmez la correction dans les environnements concernés.
- Limitez les points de terminaison vulnérables. Supprimez
/OA_HTML/AppsTCFServerde la liste blanche du pare-feu d’URL jusqu’à l’application du correctif. Limitez l’accès à la couche web aux réseaux de confiance. - Renforcez la segmentation et les contrôles d’accès. Isolez les composants EBS critiques et examinez les privilèges inutiles des comptes de service sans perturber les fonctions nécessaires.
- Surveillez les signes d’exploitation. Examinez les requêtes suspectes adressées aux servlets, les activités inhabituelles des bases de données, les fichiers non autorisés et l’exécution anormale de commandes.
- Évaluez les systèmes associés et la capacité de reprise. Examinez les correctifs applicables d’Oracle Database et de Fusion Middleware, protégez les sauvegardes et testez les procédures de restauration.
- Testez les plans de réponse aux incidents. Validez les procédures d’enquête sur les exploitations, d’isolement des hôtes, de conservation des preuves et de restauration des services.
Les restrictions réseau ne peuvent pas remplacer l’application des correctifs. Une campagne distincte visant PeopleSoft et impliquant un contournement de pare-feu a montré comment des attaquants pouvaient contourner les règles de filtrage protégeant les systèmes non corrigés.
Alors que les sondes ont déjà commencé, les entreprises doivent vérifier le déploiement des correctifs EBS et rechercher toute activité suspecte visant les installations concernées.
À lire également : les entreprises qui examinent leur exposition aux vulnérabilités doivent évaluer les correctifs de sécurité d’octobre de Splunk, qui corrigent d’autres vulnérabilités critiques et risques d’exécution de code à distance.