En bref

  • CVE-2026-101767 : injection SQL non authentifiée dans Oracle E-Business Suite 12.2 chaînée en exécution de code à distance (CVSS 9.8 Critique)
  • Affecte Oracle EBS 12.2 — patch disponible dans le CPU Oracle d'octobre 2026 publié le 20 octobre 2026
  • Exploitation active détectée dès le 27 octobre 2026 : patcher immédiatement ou restreindre l'accès réseau

Les faits

CVE-2026-101767 est une vulnérabilité d'injection SQL non authentifiée découverte dans le composant Application Object Library d'Oracle E-Business Suite (EBS) 12.2. Avec un score CVSS 3.1 de 9.8 (Critique), elle représente l'une des failles les plus sévères corrigées lors du Critical Patch Update (CPU) Oracle d'octobre 2026, publié le 20 octobre 2026. Le vecteur CVSS complet est AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, signifiant qu'aucun accès préalable ni interaction utilisateur ne sont requis pour exploiter la faille.

La vulnérabilité a été découverte et signalée à Oracle le 24 juillet 2026 par les chercheurs Brandon Peterson, Jimi Sebree et Noah King de la société Horizon3.ai. La faille réside dans le servlet Thin Client Framework exposé par EBS, accessible sans authentification via HTTP. Un attaquant disposant d'un accès réseau à ce servlet peut injecter des requêtes SQL arbitraires exécutées sous le compte de base de données APPS, le compte principal de l'application Oracle EBS, disposant de privilèges étendus sur l'ensemble des tables métier.

La chaîne d'exploitation ne s'arrête pas à l'injection SQL. Une fois l'accès au compte APPS obtenu, l'attaquant peut invoquer des procédures stockées Oracle qui font appel à des utilitaires système, permettant l'exécution de commandes arbitraires au niveau du système d'exploitation sous l'identité du compte applicatif Oracle EBS. Ce chemin d'exploitation complet, de l'injection SQL initiale jusqu'à l'exécution de commandes OS, sans aucune authentification préalable classifie cette vulnérabilité dans la catégorie des failles les plus dangereuses pour les environnements ERP.

Oracle E-Business Suite est une suite ERP déployée par des milliers d'organisations dans le monde, couvrant les domaines financier, ressources humaines, supply chain, gestion de projets et CRM. Les déploiements EBS sont fréquemment accessibles sur des réseaux internes d'entreprise, et parfois exposés directement sur Internet pour des accès distants. Selon les recherches d'Horizon3.ai, des dizaines de milliers d'instances EBS seraient accessibles depuis des réseaux non cloisonnés, constituant une surface d'attaque considérable.

Le vecteur d'attaque réseau (AV:N) combiné à l'absence de privilèges requis (PR:N) et d'interaction utilisateur (UI:N) explique le score CVSS de 9.8. La faille affecte la confidentialité, l'intégrité et la disponibilité du système en mode High/High/High selon la notation CVSS 3.1. L'advisory partiel publié par Horizon3.ai le 28 octobre 2026 confirme que des indicateurs de compromission ont déjà été identifiés sur des systèmes de surveillance (honeypots) déployés par la société de threat intelligence Defused.

Les premières tentatives d'exploitation ont été détectées le 27 octobre 2026, seulement sept jours après la publication du patch Oracle. Des acteurs malveillants ont commencé à scanner Internet à la recherche d'instances vulnérables via des requêtes POST non authentifiées vers des endpoints du servlet Thin Client Framework. Selon The Hacker News et SecurityWeek, des tentatives d'exploitation ont été enregistrées sur des systèmes leurres dès le 27 octobre 2026. À la date du 29 octobre 2026, Oracle n'avait pas encore officiellement marqué CVE-2026-101767 comme activement exploitée, mais les premières tentatives documentées constituent un signal d'alarme critique.

Aucun PoC (Proof of Concept) complet n'est publiquement disponible à ce jour. L'équipe Attack Team d'Horizon3.ai a confirmé la reproductibilité complète de l'exploitation, de l'injection SQL initiale jusqu'à l'exécution de commandes OS, et a annoncé la publication prochaine de détails techniques supplémentaires. La disponibilité imminente d'un PoC public rend le risque d'exploitation de masse imminent, en particulier pour les organisations n'ayant pas encore appliqué le CPU Oracle d'octobre 2026.

La complexité technique de l'exploitation est estimée faible (AC:L dans la nomenclature CVSS). Les endpoints du Thin Client Framework Oracle EBS sont documentés dans la littérature de sécurité, et des outils d'analyse spécialisés pour les applications Oracle sont disponibles dans la communauté des chercheurs. Cette accessibilité technique, combinée au score CVSS critique de 9.8 et aux scans déjà détectés, rend la situation particulièrement préoccupante pour les entreprises n'ayant pas encore déployé le CPU octobre 2026.

Impact et exposition

Oracle E-Business Suite est déployé principalement dans des grandes entreprises, des administrations publiques et des collectivités territoriales. Les secteurs les plus exposés incluent la finance, la santé, le secteur public, la manufacture et la grande distribution. Toute instance EBS 12.2 non patchée accessible depuis un réseau non cloisonné doit être considérée à risque critique. Les déploiements accessibles directement depuis Internet représentent le vecteur de risque le plus élevé et doivent être traités en priorité absolue.

L'exploitation réussie de CVE-2026-101767 donne à l'attaquant un accès complet à la base de données EBS : tables financières, données RH, informations clients, contrats, projets. La capacité d'exécuter des commandes OS sous le compte applicatif ouvre la voie à une intrusion plus profonde dans le système d'information, servant de point de pivot pour atteindre d'autres systèmes internes.

La surface d'attaque est amplifiée par l'absence totale d'authentification requise. Un attaquant externe sans connaissance préalable de l'organisation peut exploiter la vulnérabilité directement depuis Internet. Les tentatives de scan déjà détectées suggèrent que des outils d'exploitation automatisés sont en cours de développement par des groupes de menace opportunistes ciblant les déploiements Oracle EBS non patchés.

Recommandations immédiates

  • Appliquer immédiatement le patch Oracle CPU octobre 2026 — Oracle Critical Patch Update Advisory October 2026 (note de sécurité Oracle #34888)
  • Si le patch ne peut être appliqué immédiatement : restreindre l'accès réseau aux endpoints du servlet Thin Client Framework aux seules adresses IP légitimes via pare-feu ou WAF
  • Désactiver l'accès Internet direct à Oracle EBS si non nécessaire pour les opérations
  • Surveiller les logs d'accès aux endpoints EBS pour détecter des requêtes POST non authentifiées anormales
  • Indicateurs de compromission : requêtes POST non authentifiées vers les URLs du Thin Client Framework contenant des paramètres SQL encodés inhabituels

⚠️ Urgence critique

Des scans d'exploitation active sont détectés depuis le 27 octobre 2026. La publication imminente d'un PoC public par Horizon3.ai rend l'exploitation de masse prévisible à très court terme. Toute instance Oracle EBS 12.2 non patchée et accessible réseau doit être traitée en urgence absolue. Appliquez le CPU octobre 2026 ou restreignez l'accès réseau immédiatement.

Comment savoir si je suis vulnérable ?

Vérifiez la version de votre instance Oracle EBS via Configuration Manager > Snapshots > View System Configuration. Si votre version est EBS 12.2.x et que le CPU Oracle octobre 2026 n'a pas été appliqué, vous êtes vulnérable. Vérifiez l'application du patch via la requête SQL : SELECT patch_name, applied_date FROM ad_applied_patches WHERE patch_name LIKE '%34888%';. Pour détecter des tentatives d'exploitation, analysez vos logs de serveur web pour des requêtes POST anormales vers les endpoints du servlet Thin Client Framework d'Oracle EBS.

Votre infrastructure Oracle est-elle exposée ?

Ayi NEDJIMI réalise des audits ciblés pour identifier et corriger vos vulnérabilités Oracle EBS et systèmes critiques.

Demander un audit