Oracle corrige 1 209 failles, dont une critique dans E-Business Suite

Ce que contient la mise à jour d'octobre

Dans son avis de sécurité, Oracle annonce 1 295 nouveaux correctifs répartis sur l'ensemble de ses gammes. Le décompte publié par securityonline.info ramène ce total à 1 209 CVE uniques, sur 33 familles de produits, dont six vulnérabilités notées 10 sur l'échelle CVSS et 562 entrées exploitables à distance sans identifiants.

Les suites de gestion sont largement représentées. Toujours selon ce décompte, Oracle E-Business Suite reçoit 194 correctifs, dont 31 concernent des failles exploitables à distance sans authentification. Oracle PeopleSoft en reçoit 109 et Oracle JD Edwards 102, avec une vulnérabilité notée 10 dans le module EnterpriseOne Orchestrator (CVE-2026-91299). Oracle Fusion Middleware, brique d'intégration présente dans de nombreuses architectures, concentre 203 correctifs.

Oracle rappelle dans son avis qu'il continue de recevoir des signalements de tentatives d'exploitation de ses vulnérabilités, et que des attaques ont abouti chez des clients n'ayant pas appliqué les correctifs déjà disponibles.

Une injection SQL atteignable sans authentification

La faille la plus commentée est CVE-2026-101767, notée 9,8 sur l'échelle CVSS 3.1. Horizon3.ai, qui indique l'avoir découverte et signalée à Oracle le 24 juillet 2026, la décrit comme une injection SQL dans le servlet AppsTCFServer du composant Core d'Oracle Application Object Library. Elle est atteignable en HTTP ou HTTPS, sans authentification ni action d'un utilisateur, et le cabinet précise qu'elle peut être enchaînée jusqu'à l'exécution de commandes sur le serveur. Les versions 12.2.3 à 12.2.15 d'E-Business Suite sont concernées. Horizon3.ai ne fait état d'aucune exploitation observée à ce stade et publie des indicateurs de compromission à rechercher dans les journaux.

Le précédent est récent. En octobre 2025, une autre vulnérabilité d'E-Business Suite, CVE-2025-61882, avait été corrigée alors qu'elle était déjà exploitée : selon les éléments rapportés à l'époque, le groupe Clop s'en était servi pour exfiltrer des données, puis adresser des courriels d'extorsion aux dirigeants des entreprises visées.

Pourquoi c'est important

Un ERP concentre les commandes, les stocks, les tarifs, la paie et les données clients. Une faille atteignable depuis internet sans authentification ne donne donc pas accès à un module isolé, mais au cœur du système de gestion. Les suites concernées ici équipent surtout des ETI et des grands comptes, mais le mécanisme vaut pour tout ERP installé chez soi : ce sont les passerelles web, les connecteurs d'intégration et les portails fournisseurs ou clients exposés sur internet qui constituent la surface d'attaque, bien plus que le poste utilisateur. La campagne de 2025 contre E-Business Suite a montré que l'intervalle entre la publication d'un correctif et son application suffit à des groupes organisés, et que les données volées servent ensuite à faire pression directement sur les dirigeants.

Ce que ça change pour votre projet ERP

Commencez par l'inventaire : identifiez les composants de votre ERP réellement joignables depuis internet, et vérifiez auprès de votre infogérant ou de votre intégrateur qui applique les correctifs et dans quel délai. Un engagement écrit sur ce délai vaut mieux qu'une clause générale de maintenance.

En phase de sélection, posez la question du cycle de correctifs au même titre que celle des fonctionnalités : fréquence des publications, mode d'application en SaaS comme en hébergement dédié, et conséquences sur vos spécifiques. Les interfaces sont le point sensible : notre guide sur l'interopérabilité des ERP détaille les architectures d'échange à sécuriser. Pour le périmètre de l'éditeur, voyez notre fiche Oracle.