CVE-2026-21992 : RCE critique Oracle Identity Manager

Les faits

Le 20 mars 2026, Oracle a publié en urgence un Security Alert hors cycle pour corriger la faille CVE-2026-21992 Oracle Identity Manager, qui affecte le composant REST WebServices ainsi qu'Oracle Web Services Manager (composant Web Services Security). Classée critique, cette vulnérabilité d'exécution de code à distance serait exploitable sans authentification par un simple accès réseau HTTP, sans interaction utilisateur ni privilège préalable. En dérogeant à son calendrier trimestriel de Critical Patch Update, l'éditeur signale une gravité exceptionnelle et un risque d'exploitation imminent. L'enjeu est d'autant plus élevé qu'Identity Manager occupe une position stratégique dans la gestion des identités et des accès : sa compromission offrirait à un attaquant un pivot idéal vers l'ensemble du système d'information, avec la possibilité de créer des comptes privilégiés persistants. Les organisations concernées doivent appliquer le correctif sans délai et rechercher d'éventuels indicateurs de compromission.

La vulnérabilité permet une exécution de code arbitraire à distance sans aucune authentification préalable. Le vecteur d'attaque est réseau, avec une complexité d'exploitation faible et aucune interaction utilisateur requise. Oracle Identity Manager étant un composant central de gestion des identités dans les environnements Fusion Middleware, la compromission d'une instance expose potentiellement l'ensemble de l'infrastructure IAM de l'organisation.

Le contexte est d'autant plus préoccupant qu'une vulnérabilité apparentée dans le même composant REST WebServices d'Oracle Identity Manager, CVE-2025-61757, avait été exploitée activement en 2025 et ajoutée au catalogue KEV du CISA en novembre 2025. Selon l'analyse publiée par Tenable, cette nouvelle faille suit un schéma similaire et pourrait être exploitée par les mêmes techniques.

Impact et exposition

Les organisations utilisant Oracle Fusion Middleware avec Identity Manager ou Web Services Manager sont directement exposées. La faille est exploitable à distance, sans authentification et sans interaction utilisateur, ce qui en fait un vecteur d'attaque idéal pour les campagnes automatisées. L'impact potentiel couvre la confidentialité, l'intégrité et la disponibilité complètes du système compromis.

Oracle Identity Manager gère les cycles de vie des identités, le provisioning des comptes et les politiques d'accès. Une compromission de ce composant permet à un attaquant de créer des comptes privilégiés, de modifier les politiques d'accès et de maintenir une persistance durable dans l'environnement cible. Les secteurs financier, gouvernemental et santé, grands utilisateurs d'Oracle Fusion Middleware, sont particulièrement concernés.

Recommandations immédiates

• Appliquer immédiatement le patch Oracle Security Alert CVE-2026-21992 disponible sur My Oracle Support
• Inventorier toutes les instances Oracle Identity Manager et Web Services Manager exposées sur le réseau
• Restreindre l'accès réseau aux interfaces REST WebServices et Web Services Security aux seuls flux légitimes
• Auditer les logs d'accès aux API REST d'Identity Manager pour détecter des requêtes suspectes non authentifiées
• Vérifier l'intégrité des comptes et politiques dans Identity Manager — rechercher les comptes créés ou modifiés récemment sans justification
• Si le patch ne peut être appliqué immédiatement, isoler les instances concernées du réseau

Détails techniques de la vulnérabilité

CVE-2026-21992 est classée sous la faille CWE-306 (absence de contrôle d'authentification pour une fonction critique) au sein du composant REST WebServices d'Oracle Identity Manager, ainsi que dans le module Web Services Security d'Oracle Web Services Manager. Le vecteur CVSS v3.1 complet — AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H — confirme une exploitation réseau, sans complexité particulière, sans privilège requis et sans interaction utilisateur, avec un impact total sur la confidentialité, l'intégrité et la disponibilité. Un attaquant peut envoyer une requête HTTP forgée directement vers l'endpoint REST exposé, en contournant les mécanismes d'authentification standards, pour exécuter du code arbitraire dans le contexte du serveur d'applications WebLogic sous-jacent.

Les versions concernées couvrent les déploiements Oracle Fusion Middleware 12c (12.2.1.4.0) intégrant Oracle Identity Manager et Oracle Web Services Manager non patchés. Les environnements exposant l'interface d'administration ou les endpoints REST sur Internet — pratique déconseillée mais encore répandue dans les architectures hybrides — sont les cibles prioritaires des scans automatisés qui suivent généralement la publication d'un Security Alert dans les 48 à 72 heures.

Mitigation et détection

• Correctif Oracle : appliquer le patch du Security Alert du 20 mars 2026, disponible via My Oracle Support (document associé au bulletin), en priorité sur les instances exposées à Internet ou aux réseaux partenaires.
• Isolation réseau : si le patch ne peut être déployé immédiatement, restreindre l'accès aux endpoints REST d'Identity Manager via pare-feu ou proxy inverse, en limitant les sources aux plages IP internes légitimes.
• Surveillance des journaux : rechercher dans les logs WebLogic et OIM des requêtes anormales vers les chemins REST WebServices, en particulier des appels non authentifiés suivis de créations de comptes ou de modifications de politiques d'accès.
• Détection des IOC : surveiller la création de comptes à privilèges élevés hors des processus habituels de provisioning, ainsi que les connexions sortantes inhabituelles depuis les serveurs Fusion Middleware (indicateur classique de webshell ou de reverse shell post-exploitation).
• Scan de vulnérabilité : utiliser un scanner authentifié capable d'identifier la version patchée d'Oracle Identity Manager, les vérifications par bannière HTTP seule étant insuffisantes pour confirmer l'application du correctif.

Compte tenu du précédent CVE-2025-61757 sur le même composant, exploité en conditions réelles avant son ajout au catalogue KEV, les équipes de sécurité doivent traiter CVE-2026-21992 avec le même niveau d'urgence, indépendamment de la publication ou non d'une preuve de concept publique.