Des attaquants sondent une faille critique d'Oracle EBS quelques jours après la publication du correctif

Les acteurs malveillants ont commencé à sonder une nouvelle vulnérabilité critique corrigée dans Oracle E-Business Suite (EBS), seulement quelques jours après qu'Oracle a publié le correctif. La vulnérabilité, identifiée sous le nom de CVE-2026-101767, présente un score CVSS de 9,8 et permet l'exécution de code à distance sans authentification. L'entreprise de sécurité Defused Cyber a signalé des tentatives d'exploitation actives le 27 octobre 2026, soulignant la rapidité avec laquelle les attaquants réagissent aux correctifs logiciels destinés aux entreprises.

Ce qui s'est passé

Oracle a comblé cette faille de sécurité lors de sa Critical Patch Update publiée la semaine dernière. Le défaut se situe dans la bibliothèque d'objets d'application Oracle (Oracle Application Object Library), impliquant spécifiquement des mécanismes d'authentification inappropriés. Les chercheurs Brandon Peterson, Jimi Sebree et Noah King de Horizon3.ai ont découvert le problème et l'ont signalé à Oracle le 24 juillet 2026. Malgré la disponibilité du correctif, les renseignements sur les menaces indiquent que des acteurs malveillants scannent déjà les systèmes vulnérables.

Defused Cyber a noté que leurs systèmes leurres ont enregistré des exploits exploratoires ciblant cette vulnérabilité spécifique dans la matinée du 27 octobre. Le vecteur d'attaque implique une injection SQL non authentifiée au sein du servlet Thin Client Framework (TCF). Cette première brèche peut être enchaînée pour obtenir une exécution complète de code à distance, offrant aux attaquants un contrôle significatif sur le serveur affecté. La rapidité avec laquelle ces sondes sont apparues souligne la haute valeur que les attaquants accordent à la compromission des systèmes de planification des ressources d'entreprise.

Horizon3.ai a expliqué que la vulnérabilité permet à un attaquant ayant accès au réseau vers le servlet TCF d'exécuter des commandes SQL en tant qu'utilisateur de base de données APPS. À partir de là, l'attaquant peut élever ses privilèges pour exécuter des commandes système d'exploitation en tant que compte d'application EBS. Cette chaîne d'exploitation contourne les vérifications d'authentification standard, permettant aux utilisateurs non autorisés d'interagir directement avec la base de données backend et le système hôte sous-jacent.

Détails clés

• ID de la vulnérabilité : CVE-2026-101767 avec un score de gravité CVSS de 9,8.
• Vecteur d'attaque : Injection SQL non authentifiée dans le servlet Thin Client Framework situé à /OA_HTML/AppsTCFServer.
• Impact : Permet l'exécution de SQL en tant qu'utilisateur APPS et de commandes OS en tant que compte d'application EBS.
• Données à risque : Enregistrements financiers, paie, RH et approvisionnement accessibles à l'utilisateur de base de données APPS.
• Découverte : Signalée par les chercheurs de Horizon3.ai le 24 juillet 2026 ; corrigée par Oracle fin octobre 2026.
• Exploitation active : Defused Cyber a détecté des tentatives de sondage le 27 octobre 2026.

Contexte

Oracle E-Business Suite est un ensemble complet d'applications métier utilisé par de nombreuses grandes organisations pour gérer les finances, les ressources humaines et les opérations de la chaîne d'approvisionnement. Comme il traite des données d'entreprise sensibles, il est une cible fréquente pour les cybercriminels. Le composant spécifique affecté ici, le Thin Client Framework, facilite la communication entre l'interface web et la base de données backend. Lorsque les contrôles d'authentification échouent dans de tels frameworks, les attaquants peuvent injecter des commandes SQL malveillantes pour manipuler ou extraire des données sans avoir besoin d'identifiants valides.

L'exécution de code à distance (RCE) est l'un des types de vulnérabilités de sécurité les plus graves. Elle permet à un attaquant d'exécuter des commandes arbitraires sur le serveur hébergeant l'application. Dans ce cas, l'attaquant obtient les permissions du compte d'application EBS. Bien que cela n'équivaille pas toujours à un accès root complet, c'est suffisant pour lire ou modifier des données critiques de l'entreprise et potentiellement pivoter vers d'autres parties du réseau interne. Des failles critiques précédentes dans EBS, telles que CVE-2025-61882, ont été exploitées par des groupes de ransomware comme Cl0p, rendant la mise à jour rapide essentielle.

Pourquoi c'est important

Pour les équipes gérant des logiciels d'entreprise auto-hébergés, cet incident illustre la fenêtre étroite entre la publication du correctif et l'exploitation active. Les attaquants inversent souvent les correctifs pour créer des scripts d'exploitation en quelques heures ou jours. Si votre organisation exécute Oracle EBS, retarder la mise à jour expose vos données financières et RH à un risque immédiat. Même les instances internes sont vulnérables si un attaquant prend pied ailleurs dans le réseau, car l'exploit ne nécessite pas une exposition à Internet pour réussir une fois à l'intérieur du périmètre.

La nature des données en jeu amplifie l'impact. La compromission des enregistrements de paie et RH peut conduire à l'usurpation d'identité, à la fraude et à des sanctions réglementaires importantes. De plus, l'accès au système d'exploitation permet aux attaquants d'installer des backdoors persistants ou des ransomwares. Pour les responsables IT, cela renforce la nécessité de processus robustes de gestion des vulnérabilités qui priorisent les correctifs critiques pour les applications orientées clients et riches en données. Se fier uniquement aux pare-feu périphériques est insuffisant lorsque la vulnérabilité permet un accès non authentifié aux services principaux.

Ce que vous pouvez faire

• Appliquez immédiatement la dernière Oracle Critical Patch Update pour corriger CVE-2026-101767.
• Si la mise à jour n'est pas possible immédiatement, retirez /OA_HTML/AppsTCFServer de la liste blanche de votre pare-feu URL.
• Restreignez l'accès à la couche web EBS aux réseaux fiables uniquement, en bloquant l'accès externe.
• Surveillez votre hôte d'application EBS et votre base de données pour toute activité inhabituelle, comme des fichiers inattendus dans $APPLPTMP.
• Surveillez les requêtes POST non authentifiées vers le servlet TCF et les requêtes de reconnaissance SQL subséquentes.
• Vérifiez que le compte oracle ne lance pas /bin/sh via le Concurrent Manager, ce qui indiquerait une compromission.