# Oracle EBS : CVE-2026-101767 déjà sondée une semaine après le correctif

> Une injection SQL non authentifiée menant à l'exécution de code cible Oracle E-Business Suite ; des tentatives d'exploitation ont été vues le 27 octobre.

- Source : KLYNLABS (https://klynlabs.eu)
- URL : https://klynlabs.eu/articles/oracle-ebs-cve-2026-101767-injection-sql-scans-defused
- Auteur : Kelvyn
- Publié le : 29 octobre 2026 (2026-10-29T04:39:44.429Z)
- Rubrique : Cybersécurité
- Sujets : Vulnérabilité, Oracle E-Business Suite, CVE-2026-101767, Horizon3.ai, Defused
- Langue : français

Oracle a publié le 20 octobre 2026 un correctif pour **CVE-2026-101767**, une faille critique de son logiciel de gestion E-Business Suite (EBS), et la société de renseignement sur les menaces Defused a rapporté le 28 octobre que ses leurres avaient enregistré des tentatives d'exploitation dès le 27 octobre.

## Comment fonctionne la faille CVE-2026-101767 ?

Le bogue se situe dans le composant Application Object Library. Horizon3.ai, qui l'a découvert, le décrit comme une injection SQL sans authentification dans le servlet Thin Client Framework, enchaînable avec une exécution de code à distance, rapporte [The Hacker News](https://thehackernews.com/2026/10/hackers-target-critical-oracle-e.html). Une requête construite vers `/OA_HTML/AppsTCFServer` exécute du SQL avec le compte de base de données APPS, puis permet de lancer des commandes sur le serveur sous le compte applicatif. L'attaque ne demande qu'un accès HTTP au serveur et aucune authentification. Le score CVSS de 9,8 sur 10 est cité par The Hacker News ; [BleepingComputer](https://www.bleepingcomputer.com/news/security/hackers-now-scanning-systems-for-recently-patched-oracle-flaw/) ne le mentionne pas, et aucun des deux ne liste les versions touchées.

Les chercheurs Brandon Peterson, Jimi Sebree et Noah King, de Horizon3.ai, ont signalé la faille à Oracle le 24 juillet 2026, soit près de trois mois avant le correctif.

## L'exploitation est-elle confirmée ?

Pas encore. Oracle n'a pas marqué la faille comme exploitée. Defused indique que ses systèmes leurres, qui imitent des serveurs EBS, ont enregistré des tentatives le 27 octobre ; on ne sait pas si elles visaient uniquement ces leurres ou aussi de vrais serveurs. Le service Shadowserver recense plus de 670 instances EBS exposées sur Internet, surtout aux États-Unis, sans distinguer les leurres ni les serveurs déjà corrigés.

Le risque est connu : EBS a déjà servi de porte d'entrée. La faille CVE-2025-61882, exploitée comme zero-day depuis août 2025 par le groupe d'extorsion Clop, a touché Logitech et plusieurs universités américaines. Dans le même écosystème, nous avons raconté [l'exploitation d'une faille PeopleSoft par ShinyHunters](https://klynlabs.eu/articles/shinyhunters-oracle-peoplesoft-contournement-waf-encodage-url). Depuis novembre 2021, la CISA, l'agence américaine de cybersécurité, a ajouté 46 failles Oracle à son catalogue des vulnérabilités exploitées, dont 13 utilisées dans des attaques par rançongiciel, selon BleepingComputer.

## Que faire si on administre Oracle EBS ?

- **Appliquer le correctif d'octobre 2026** d'Oracle (Critical Patch Update) sans attendre ;
- si le correctif est retardé, retirer le chemin du servlet de la liste d'autorisation du pare-feu d'URL EBS et limiter l'accès au serveur web à des réseaux de confiance ;
- chercher des signes de compromission : requêtes POST non authentifiées vers le servlet suivies d'activité en base, requêtes SQL de reconnaissance (version, utilisateur courant), fichiers inattendus dans `$APPLPTMP`, compte oracle lançant `/bin/sh` via le Concurrent Manager ;
- rester sur une version d'EBS encore prise en charge, comme Oracle le recommande.

Les indicateurs ci-dessus viennent de Horizon3.ai via The Hacker News. Comme l'exploitation réelle n'est pas démontrée, ils servent à vérifier une compromission possible, pas à en constater une.

## À retenir

- Oracle a corrigé le 20 octobre 2026 la faille CVE-2026-101767 d'E-Business Suite, une injection SQL sans authentification menant à l'exécution de code.
- Defused, société de renseignement sur les menaces, a enregistré le 27 octobre 2026 des tentatives d'exploitation sur ses leurres, sans preuve d'attaque réussie sur de vrais serveurs.
- Shadowserver recense plus de 670 instances Oracle E-Business Suite exposées sur Internet, surtout aux États-Unis.
- Les administrateurs d'Oracle E-Business Suite doivent appliquer le correctif d'octobre 2026 ou, à défaut, restreindre l'accès au servlet AppsTCFServer.
- Oracle E-Business Suite a déjà été exploité en 2025 par le groupe Clop, ce qui rend la fenêtre entre correctif et attaque particulièrement sensible.

## Source

- [BleepingComputer](https://www.bleepingcomputer.com/news/security/hackers-now-scanning-systems-for-recently-patched-oracle-flaw/), d'après Defused et Shadowserver
- [The Hacker News](https://thehackernews.com/2026/10/hackers-target-critical-oracle-e.html), d'après Horizon3.ai

---

Article publié par KLYNLABS, signé Kelvyn. À citer avec son lien : https://klynlabs.eu/articles/oracle-ebs-cve-2026-101767-injection-sql-scans-defused