Dans un avis mis à jour le 29 octobre, Tuskira qualifiait l’exploitation de CVE-2026-101767 de signalée mais non confirmée. Defused avait rapporté le 27 octobre des tentatives exploratoires contre ses leurres Oracle E-Business Suite. Oracle avait publié le correctif correspondant le 20 octobre.

Des tentatives observées sur des leurres EBS

Defused a signalé des tentatives exploratoires visant ses leurres Oracle E-Business Suite, des systèmes utilisés pour attirer et observer des activités suspectes. Ce signalement porte sur les leurres de Defused. Tuskira indiquait également que le CVE ne figurait pas au catalogue KEV de CISA au 27 octobre.

Oracle cible Application Object Library Core dans EBS 12.2.3–12.2.15

La matrice de risques d’Oracle recense CVE-2026-101767 pour le composant Core d’Oracle Application Object Library dans Oracle E-Business Suite 12.2.3 à 12.2.15. Oracle lui attribue un score CVSS 3.1 de 9,8. Le vecteur décrit une attaque réseau via HTTP, sans authentification, privilèges préalables ni interaction de l’utilisateur ; une attaque réussie peut entraîner la prise de contrôle d’Oracle Application Object Library. La matrice de risques d’Oracle donne le périmètre et les conditions d’attaque.

Le chemin technique passe par un servlet

Horizon3.ai décrit une injection SQL sans authentification dans le servlet /OA_HTML/AppsTCFServer, associé au Thin Client Framework. Selon son analyse, l’exécution de requêtes SQL peut être enchaînée à l’exécution de commandes du système d’exploitation sous le compte de l’application EBS. Horizon3.ai indique aussi que la configuration par défaut du pare-feu d’URL d’EBS autorise ce servlet. L’analyse technique de Horizon3.ai détaille ce mécanisme.

Oracle a publié son Critical Patch Update d’octobre le 20 octobre 2026 pour corriger la vulnérabilité. L’avis de sécurité d’Oracle présente cette mise à jour.

Pour les versions concernées, le correctif Oracle est la mesure centrale ; les restrictions d’accès et la surveillance servent à réduire l’exposition dans l’intervalle.

Horizon3.ai recommande d’appliquer le correctif Oracle. Avant son installation, ses mesures de réduction de l’exposition consistent à retirer /OA_HTML/AppsTCFServer de la liste d’autorisation du pare-feu d’URL, à limiter l’accès à la couche web d’EBS aux réseaux de confiance et à surveiller l’hôte applicatif ainsi que la base de données. Ces mesures ne remplacent pas le correctif.