La société de renseignement sur les menaces Defused a enregistré, le 27 octobre, des tentatives d'exploitation visant une vulnérabilité récemment corrigée dans Oracle E-Business Suite (EBS), selon SecurityWeek. L'activité ciblait la CVE-2026-101767, une faille critique que des attaquants distants pouvaient exploiter via HTTP, sans authentification.
Les observations proviennent des leurres EBS de Defused. L'entreprise décrit cette activité comme des « exploits exploratoires », preuves de tentatives visant ces systèmes, et non comme des compromissions confirmées de déploiements clients. SecurityWeek n'a relevé aucun autre cas d'exploitation active.
D'après le rapport de SecurityWeek, la CVE-2026-101767 est une injection SQL dans l'Application Object Library d'EBS. Une exploitation réussie pourrait permettre l'exécution de code à distance et la prise de contrôle complète de ce composant. Son score CVSS de 9,8 décrit la gravité de la vulnérabilité ; il n'établit pas qu'une attaque a réussi.
Oracle a corrigé la faille dans sa mise à jour critique de sécurité d'octobre 2026, publiée initialement le 20 octobre, soit une semaine avant les observations de Defused. Oracle crédite les chercheurs Horizon3.ai Brandon Peterson, Jimi Sebree et Noah King pour la CVE-2026-101767.
L'avis mentionne les versions 12.2.3–12.2.15 d'Oracle E-Business Suite parmi les produits concernés par les vulnérabilités corrigées dans la mise à jour d'octobre. Il s'agit du périmètre de la mise à jour au niveau des produits, et non d'une liste de versions affectées propre à chaque CVE.
Pour la disponibilité des correctifs et les instructions d'installation, Oracle renvoie les clients vers le document de disponibilité des correctifs E-Business Suite, lié depuis l'avis. Le fournisseur recommande vivement de rester sur des versions activement prises en charge et d'appliquer les correctifs de sécurité sans délai, en citant des signalements d'attaques réussies contre des clients n'ayant pas installé les correctifs disponibles.
