Les administrateurs Oracle ont plus d’un millier de vulnérabilités à évaluer cette semaine, dont six affichent le score CVSS maximal de 10,0. Les correctifs couvrent des logiciels utilisés pour l’authentification, la finance, les bases de données et d’autres opérations critiques.
Publiée le 20 octobre, la mise à jour trimestrielle Critical Patch Update d’Oracle contient 1 295 correctifs de sécurité qui traitent 1 209 CVE distinctes dans 33 familles de produits, selon l’analyse de Tenable. Plusieurs failles de gravité maximale peuvent être exploitées à distance sans authentification. Les équipes de sécurité doivent recenser les déploiements concernés, en particulier les services accessibles depuis des réseaux non fiables.
Six failles CVSS 10,0 affectent des systèmes d’entreprise clés
Les matrices de risques officielles d’Oracle recensent six vulnérabilités de gravité maximale, qui peuvent toutes être exploitées à distance sans authentification. Elles affectent quatre ensembles de logiciels d’entreprise.
| Produit Oracle | Identifiants CVE |
|---|---|
| E-Business Suite Workflow Notification Mailer | CVE-2026-101809 |
| Oracle Access Manager | CVE-2026-87337 |
| Oracle SOA Suite | CVE-2026-91231, CVE-2026-91216, CVE-2026-91221 |
| JD Edwards EnterpriseOne Orchestrator | CVE-2026-91299 |
Oracle indique que les versions concernées sont les versions 12.2.3 à 12.2.15 d’E-Business Suite, les versions 12.2.1.4.0 et 14.1.2.1.0 d’Access Manager, les versions 12.2.1.4.0 et 14.1.2.0.0 de SOA Suite, ainsi que les versions 9.2.0.0 à 9.2.26.5 de JD Edwards EnterpriseOne Orchestrator.
Les problèmes des adaptateurs Access Manager et SOA utilisent HTTP, tandis que deux failles de SOA Fabric Layer impliquent T3 et IIOP. La possibilité d’une exploitation sans authentification ne prouve pas que des attaques ont eu lieu. L’avis ne confirme pas l’exploitation active de ces six CVE.
Fusion Middleware concentre le plus grand nombre de correctifs
Tenable a recensé 112 correctifs critiques couvrant 95 CVE distinctes. Oracle Fusion Middleware a reçu 206 correctifs, dont 134 concernent des failles potentiellement exploitables à distance sans authentification. E-Business Suite suit avec 194 correctifs, Siebel CRM avec 122, Communications avec 110, PeopleSoft avec 109 et JD Edwards avec 102.
Les décomptes des correctifs et des vulnérabilités diffèrent, car une même CVE peut nécessiter des correctifs dans plusieurs produits Oracle. Les entreprises qui utilisent plusieurs familles de produits peuvent avoir besoin de mises à jour différentes pour traiter un même problème sous-jacent. La précédente publication de correctifs d’Oracle couvrant 943 vulnérabilités fournit un éclairage supplémentaire sur la charge récurrente de correctifs.
Comment les équipes de sécurité doivent hiérarchiser les correctifs Oracle
Oracle a exhorté ses clients à installer rapidement les mises à jour d’octobre et à utiliser ses recommandations de correctifs propres à chaque produit.
Les administrateurs doivent hiérarchiser les systèmes concernés en fonction de la gravité, de l’exposition réseau et de l’impact métier, puis coordonner les tests et le déploiement avec les responsables des applications. Les systèmes internes doivent également être évalués : restreindre l’accès à Internet ne supprime pas toutes les voies d’exploitation.
Les administrateurs d’E-Business Suite doivent vérifier séparément les composants Oracle Database et Fusion Middleware sous-jacents. Oracle précise que leurs mises à jour de sécurité ne figurent pas dans la matrice de risques d’E-Business Suite ; consulter uniquement cette matrice peut donc laisser certains correctifs pertinents de côté.
- Identifier les actifs exposés : Inventoriez les produits et versions Oracle, y compris les systèmes gérés par des fournisseurs. Comparez-les aux matrices de risques d’Oracle et signalez les services d’authentification, de workflow et d’application exposés à Internet. Les précédentes attaques par injection SQL d’Oracle permettant l’exécution de code à distance fournissent un éclairage supplémentaire pour évaluer les applications exposées.
- Limiter l’accès pendant l’application des correctifs : Donnez la priorité aux points de terminaison HTTP, T3 et IIOP vulnérables. Limitez l’exposition réseau inutile, coordonnez les fenêtres de maintenance et préparez les procédures de sauvegarde et de restauration avant d’installer les mises à jour.
- Confirmer la remédiation : Vérifiez les niveaux de correctifs installés, testez les fonctions métier essentielles, effectuez une nouvelle analyse si nécessaire et suivez les exceptions non résolues en leur attribuant des responsables et des dates cibles.
Les entreprises qui externalisent l’administration Oracle doivent demander des preuves du déploiement des correctifs, et pas seulement l’assurance d’un fournisseur que les mises à jour sont programmées. Lorsqu’un correctif immédiat n’est pas possible, documentez les contrôles d’accès temporaires et fixez une date ferme de réévaluation. Les précédentes attaques contre PeopleSoft ayant contourné les règles des pare-feu applicatifs illustrent pourquoi les mesures compensatoires doivent être validées et ne peuvent pas remplacer le correctif sous-jacent. Les équipes de sécurité doivent également vérifier les journaux pertinents à la recherche d’une activité inhabituelle, sans présumer qu’une exploitation a eu lieu.
À lire également : pour un exemple récent de l’importance de l’attribution des responsabilités et de la vérification, consultez comment un système Oracle PeopleSoft non corrigé est intervenu dans une compromission liée au FBI et à ShinyHunters.