En bref

  • CVE-2026-21992 (CVSS 9.8) : exécution de code à distance non authentifiée dans Oracle Identity Manager et Oracle Web Services Manager
  • Produits Oracle Fusion Middleware affectés — patch d'urgence hors cycle publié le 20 mars 2026
  • Action urgente : appliquer immédiatement le Security Alert Oracle — exploitation sans authentification possible

Les faits

Le 20 mars 2026, Oracle a publié un Security Alert d'urgence hors cycle pour corriger la vulnérabilité CVE-2026-21992, affectant Oracle Identity Manager (composant REST WebServices) et Oracle Web Services Manager (composant Web Services Security). Cette décision de publier un correctif en dehors du cycle trimestriel habituel (Critical Patch Update) souligne la gravité exceptionnelle de cette faille, notée 9.8 sur l'échelle CVSS v3.1.

La vulnérabilité permet une exécution de code arbitraire à distance sans aucune authentification préalable. Le vecteur d'attaque est réseau, avec une complexité d'exploitation faible et aucune interaction utilisateur requise. Oracle Identity Manager étant un composant central de gestion des identités dans les environnements Fusion Middleware, la compromission d'une instance expose potentiellement l'ensemble de l'infrastructure IAM de l'organisation.

Le contexte est d'autant plus préoccupant qu'une vulnérabilité apparentée dans le même composant REST WebServices d'Oracle Identity Manager, CVE-2025-61757, avait été exploitée activement en 2025 et ajoutée au catalogue KEV du CISA en novembre 2025. Selon l'analyse publiée par Tenable, cette nouvelle faille suit un schéma similaire et pourrait être exploitée par les mêmes techniques.

Impact et exposition

Les organisations utilisant Oracle Fusion Middleware avec Identity Manager ou Web Services Manager sont directement exposées. La faille est exploitable à distance, sans authentification et sans interaction utilisateur, ce qui en fait un vecteur d'attaque idéal pour les campagnes automatisées. L'impact potentiel couvre la confidentialité, l'intégrité et la disponibilité complètes du système compromis.

Oracle Identity Manager gère les cycles de vie des identités, le provisioning des comptes et les politiques d'accès. Une compromission de ce composant permet à un attaquant de créer des comptes privilégiés, de modifier les politiques d'accès et de maintenir une persistance durable dans l'environnement cible. Les secteurs financier, gouvernemental et santé, grands utilisateurs d'Oracle Fusion Middleware, sont particulièrement concernés.

Recommandations immédiates

  • Appliquer immédiatement le patch Oracle Security Alert CVE-2026-21992 disponible sur My Oracle Support
  • Inventorier toutes les instances Oracle Identity Manager et Web Services Manager exposées sur le réseau
  • Restreindre l'accès réseau aux interfaces REST WebServices et Web Services Security aux seuls flux légitimes
  • Auditer les logs d'accès aux API REST d'Identity Manager pour détecter des requêtes suspectes non authentifiées
  • Vérifier l'intégrité des comptes et politiques dans Identity Manager — rechercher les comptes créés ou modifiés récemment sans justification
  • Si le patch ne peut être appliqué immédiatement, isoler les instances concernées du réseau

⚠️ Urgence

CVSS 9.8 — exploitation distante sans authentification. Oracle a jugé cette faille suffisamment critique pour publier un correctif hors cycle. La vulnérabilité précédente dans le même composant (CVE-2025-61757) a été activement exploitée. Patcher sans délai.

Comment savoir si mon environnement Oracle est vulnérable ?

Vérifiez la version de vos composants Oracle Identity Manager et Web Services Manager via la console Fusion Middleware Control ou avec la commande opatch lspatches sur les serveurs concernés. Consultez le Security Alert CVE-2026-21992 sur My Oracle Support pour identifier les versions exactes affectées et les numéros de patch correctifs. Toute instance non patchée exposant les endpoints REST WebServices sur le réseau est vulnérable.

Votre infrastructure est-elle exposée ?

Ayi NEDJIMI réalise des audits ciblés pour identifier et corriger vos vulnérabilités.

Demander un audit