Le 27 octobre 2026, Defused Cyber a signalé des tentatives exploratoires d’exploitation de CVE-2026-101767 contre ses leurres Oracle E-Business Suite (EBS). Oracle avait publié son Critical Patch Update (CPU) d’octobre le 20 octobre; Horizon3.ai indique que cette mise à jour corrige la vulnérabilité.
Le signalement concerne les leurres de Defused Cyber. Son message original sur X décrit l’activité observée :
Versions EBS concernées et accès nécessaire
Horizon3.ai identifie les versions 12.2.3 à 12.2.15 incluses comme concernées par CVE-2026-101767, dans le composant Oracle Application Object Library, Core. La vulnérabilité est une injection SQL non authentifiée dans le servlet Thin Client Framework (TCF), accessible à l’adresse /OA_HTML/AppsTCFServer.
L’attaque exige un accès réseau au servlet via HTTP ou HTTPS, mais ni identifiants ni intervention d’un utilisateur. Une instance accessible depuis Internet est directement exposée; un système interne peut aussi être atteint depuis un hôte compromis ou un segment réseau accessible. Horizon3.ai attribue à la faille un score CVSS 3.1 de 9,8, niveau critique. Son avis technique détaille le périmètre et les conditions d’accès.
Ce que la faille peut permettre
Selon Horizon3.ai, l’injection peut permettre d’exécuter des requêtes SQL avec les droits de l’utilisateur de base de données APPS, puis des commandes système avec ceux du compte applicatif EBS. L’étendue des données accessibles dépend de la configuration et des permissions. Les exemples possibles comprennent des données financières, de paie, de ressources humaines et d’approvisionnement.
Correctif et mesures de réduction de l’exposition
Oracle a publié initialement son CPU d’octobre 2026 le 20 octobre. Horizon3.ai indique que cette mise à jour corrige CVE-2026-101767. Oracle précise que les correctifs CPU sont fournis pour les versions couvertes par Premier Support ou Extended Support. L’entreprise indique aussi que des versions antérieures peuvent être concernées et recommande de passer à une version prise en charge. L’avis de sécurité d’Oracle détaille le périmètre des versions couvertes par le CPU.
Horizon3.ai recommande d’appliquer le correctif correspondant à l’installation. Dans l’intervalle, ses mesures de réduction de l’exposition consistent à retirer /OA_HTML/AppsTCFServer de la liste d’autorisation du pare-feu d’URL EBS, à limiter l’accès au niveau web EBS aux réseaux de confiance et à surveiller l’hôte applicatif ainsi que la base de données. Ces restrictions ne remplacent pas le correctif. Oracle avertit que les solutions de contournement peuvent perturber les fonctionnalités de l’application et recommande de les tester hors production.
Indicateurs à surveiller
Horizon3.ai cite notamment des requêtes POST non authentifiées vers le servlet qui instancient oracle.apps.jtf.gantt.server.GanttDataServer, suivies d’une activité en base de données. Parmi les autres indicateurs figurent une reconnaissance SQL après des requêtes web non authentifiées, des fichiers inattendus dans $APPLPTMP et le lancement de /bin/sh par le compte oracle via Concurrent Manager.
