Oracle publie 673 correctifs de sécurité, dont six failles de sévérité maximale

Oracle a publié le mardi 15 septembre son Critical Security Patch Update de septembre 2026, un ensemble de 673 correctifs de sécurité répartis sur 17 familles de produits. Une analyse indépendante évalue à 672 CVE le nombre de failles distinctes, dont 104 classées critiques et plus de 240 exploitables via le réseau sans identifiants.

À lire aussi: Check Point corrige deux failles VPN de gravité 9,8 permettant une exécution de code non authentifiée · SAP corrige une faille du noyau notée CVSS 10.0 qui ne demande aucun identifiant.

Le chiffre qui pèsera sur la plupart des réunions de priorisation est six : le nombre de vulnérabilités notées 10,0, le plafond de l'échelle CVSS 3.1. Cinq se trouvent dans Oracle Fusion Middleware et une dans Oracle Hyperion Financial Management. Chacune est accessible à un attaquant non authentifié disposant d'un accès réseau, avec une faible complexité d'attaque, sans privilèges ni interaction de l'utilisateur.

Six failles à la sévérité maximale

Le groupe Fusion Middleware couvre les parties de la pile Oracle qui font le plus souvent face à internet : l'identité, les services d'annuaire, les serveurs d'applications et le rendu de formulaires. Il s'agit d'Oracle Access Manager (CVE-2026-71133), d'Oracle Forms (CVE-2026-83099), d'Oracle Internet Directory (CVE-2026-83059), d'Oracle Platform Security for Java (CVE-2026-83020) et d'Oracle WebLogic Server (CVE-2026-83021). La sixième est Oracle Hyperion Financial Management (CVE-2026-87230).

Les matrices de risque d'Oracle se lisent de façon presque identique pour les cinq bugs de middleware. Un attaquant disposant d'un accès réseau atteint le composant vulnérable, n'a besoin de rien d'autre et en prend le contrôle. Chacun porte un indicateur de changement de portée (S:C), ce qui signifie qu'une attaque réussie peut toucher des produits au-delà du composant lui-même. Cela compte dans le middleware, où un service compromis peut se trouver derrière l'authentification de nombreux autres.

Quatre sont attaquées via HTTP. Oracle Internet Directory fait exception : sa faille réside dans le composant OID LDAP Server et est déclenchée via LDAP, si bien que les défenseurs doivent tenir compte d'un port d'annuaire plutôt que d'un point de terminaison web lorsqu'ils cartographient l'exposition.

Les versions concernées varient selon le produit, ce qui détermine qui est réellement exposé. La faille WebLogic touche les versions 12.2.1.4.0, 14.1.1.0.0 et 14.1.2.0.0. Access Manager, Internet Directory et Platform Security for Java couvrent la 12.2.1.4.0 ainsi qu'une version 14.1.2.x. Oracle Forms s'étend sur les 12.2.1.19.0 et 14.1.2.0.0, et Hyperion Financial Management se limite à une seule version, la 11.2.26.0.0. Les organisations restées sur la 12.2.1.4.0, une branche pérenne encore répandue dans les parcs sur site, sont touchées par la plupart des failles du middleware.

La mise à jour contient aussi 13 failles de Fusion Middleware notées 9,9, soit un dixième sous le maximum. Elles se concentrent dans Access Manager, Internet Directory, WebCenter Portal, Service Delivery Platform et WebLogic Server.

Où atterrissent les 673 correctifs

Les nombres de correctifs ne sont pas répartis uniformément. Oracle E-Business Suite a reçu le plus gros lot, avec 159 correctifs, suivi de Fusion Middleware (153) et d'Hyperion (102), selon Tenable. Siebel CRM (63), Analytics (50) et Communications (31) viennent derrière.

Le volume et l'exposition ne vont pas dans le même sens. Sur les 159 correctifs d'E-Business Suite, 19 sont exploitables à distance sans authentification. Fusion Middleware, avec légèrement moins de correctifs, porte 78 failles réseau non authentifiées. Hyperion en ajoute 50. En additionnant les premières lignes par famille des matrices d'Oracle, on obtient 247 correctifs pour des failles accessibles sans identifiants, soit 36,7 % de la livraison, comme l'a calculé l'analyste Marc-Frédéric Gomez à partir de l'avis. SecurityWeek rapporte la même concentration, qu'il situe à plus de 240.

SecurityWeek note aussi que le total affiché minimise le travail. Les 673 correctifs d'Oracle couvrent 672 CVE distinctes dans les matrices publiées, tandis que l'entreprise indique que plus de 130 CVE supplémentaires sont résolues par les mêmes correctifs, ce qui pousse le total effectif au-delà de 800 vulnérabilités.

Les 104 correctifs critiques marquent une progression par rapport aux premiers mois de la nouvelle cadence. Le premier CSPU mensuel d'Oracle, en mai, corrigeait 35 CVE, dont environ un tiers classées critiques. Septembre est le plus gros ensemble depuis le lancement du programme mensuel.

Au-delà des cinq plus grandes familles, la mise à jour descend plus bas dans la pile. Oracle Database Server a reçu 11 correctifs, dont cinq exploitables à distance sans authentification, notamment des failles Oracle Net Services qu'un attaquant non authentifié peut utiliser pour faire planter un listener. Oracle Java SE a reçu trois correctifs, tous des failles réseau non authentifiées. Oracle Enterprise Manager a reçu sept correctifs, dont cinq non authentifiés. L'ampleur est précisément l'enjeu : un parc Oracle type fait tourner plusieurs de ces familles en même temps, si bien qu'une réponse complète suppose généralement de coordonner administrateurs de bases de données, administrateurs de middleware et propriétaires d'applications dans la même fenêtre.

Pourquoi Fusion Middleware revient sans cesse

Fusion Middleware a ancré les récents cycles de correctifs d'Oracle. CIO.com rapportait que la mise à jour de juillet 2026 d'Oracle traitait dix vulnérabilités CVSS 10,0, le même schéma que l'on observe aujourd'hui. La raison est structurelle. WebLogic, Access Manager et les services d'annuaire constituent la porte d'entrée de grandes applications d'entreprise, souvent déployées sur site et souvent accessibles depuis des réseaux non fiables.

Ce mélange d'exposition à internet et de logique d'authentification fait de la couche middleware une cible durable. Une faille qui déjoue l'authentification peut se propager à chaque application qui fait confiance à cette couche, ce qui explique la présence de l'indicateur de changement de portée sur les cinq bugs notés 10,0 de septembre. Les failles d'annuaire méritent une attention particulière : Oracle Internet Directory et Access Manager sont souvent les systèmes qui décident qui accède à tout le reste.

Les notes de sévérité maximale peuvent aussi induire en erreur. La campagne Clop de 2025 qui a frappé des clients d'E-Business Suite s'appuyait sur une faille notée 9,8, pas 10,0. À l'inverse, certaines des failles d'entreprise les plus exploitées de ces dernières années n'avaient aucun score de sévérité public au moment de leur divulgation. La note classe la sévérité ; l'accessibilité et l'état du correctif déterminent si un attaquant peut réellement l'exploiter.

Le passage à un correctif mensuel

Oracle ne réserve plus ses correctifs de sécurité à quatre dates par an. À partir du 28 mai 2026, l'entreprise a ajouté des Critical Security Patch Updates mensuels entre ses Critical Patch Updates trimestriels, comme elle l'a expliqué en mai. Les CSPU apportent des correctifs ciblés de haute sévérité ; les CPU restent cumulatifs et se tiennent toujours en janvier, avril, juillet et octobre.

Septembre est le quatrième CSPU du nouveau calendrier. Les prochaines dates d'Oracle sont un CPU le 20 octobre 2026, un CSPU le 17 novembre et un CSPU le 15 décembre. Pour les équipes qui regroupaient auparavant le travail Oracle dans une fenêtre de maintenance trimestrielle, la cadence mensuelle réduit l'écart entre la sortie d'un correctif et l'ouverture d'un gel interne, mais elle augmente aussi la fréquence des changements.

Le précédent d'E-Business Suite

Le statut du plus gros lot d'E-Business Suite porte une histoire. En 2025, le groupe d'extorsion Clop a exploité CVE-2025-61882 dans les composants BI Publisher Integration et Concurrent Processing, le groupe Threat Intelligence de Google faisant remonter l'exploitation au 9 août 2025, des semaines avant qu'un correctif n'existe. La CISA a ajouté la faille à son catalogue Known Exploited Vulnerabilities le 6 octobre 2025.

Cette campagne ne dépendait pas d'un score de sévérité maximale. Elle reposait sur une application d'entreprise exposée à internet et sur des systèmes non corrigés. La mise à jour de septembre inclut trois failles d'E-Business Suite notées 9,8, CVE-2026-83327, CVE-2026-83452 et CVE-2026-83462, assez proches du plafond pour justifier la même urgence pour quiconque expose EBS à internet.

État de l'exploitation et réserves

Oracle ne mentionne aucune vulnérabilité de septembre exploitée dans la nature, et aucune des six CVE notées 10,0 n'apparaît au catalogue Known Exploited Vulnerabilities de la CISA au 19 septembre 2026. L'avis reprend l'avertissement habituel d'Oracle : les attaquants exploitent régulièrement des failles pour lesquelles des correctifs existent déjà et réussissent lorsque les clients ne les ont pas appliqués.

Deux réserves méritent d'être gardées à l'esprit. Oracle ne teste et ne corrige que les versions prises en charge, si bien que les organisations sur des versions hors Premier ou Extended Support ne sont pas couvertes et doivent présumer une exposition. Un score CVSS maximal est aussi une déclaration de sévérité plutôt qu'une preuve d'exploitation ; le risque pratique dépend de l'accessibilité du composant touché depuis un réseau non fiable.

Prioriser le travail

Trois questions permettent de trier la liste rapidement. Premièrement, le composant est-il accessible depuis un réseau non fiable ? Cela couvre WebLogic exposé à internet, Access Manager, le port LDAP d'OID et tout servlet Forms. Deuxièmement, le composant détient-il ou arbitre-t-il l'identité ? Access Manager, Internet Directory et Platform Security for Java se trouvent sous l'authentification unique de nombreuses applications, si bien qu'une prise de contrôle à cet endroit a un large rayon d'impact. Troisièmement, la faille est-elle accessible sans identifiants ? Oracle signale 247 des 673 correctifs comme tels, et ceux-là méritent une conversation sur un changement d'urgence plutôt qu'un ticket de routine.

Pour le reste, le tri habituel s'applique. Le score, l'exposition et la criticité métier déterminent l'ordre, et une faille notée 9,9 n'est pas sensiblement plus sûre qu'une 10,0 lorsqu'elle est non authentifiée et accessible via le réseau. Bloquer un protocole ou réduire les privilèges peut diminuer le risque à court terme, comme le note Oracle lui-même, mais ces mesures peuvent casser des applications et ne corrigent pas la faille sous-jacente.

Ce qu'il faut surveiller

La question immédiate est de savoir si l'une des failles de septembre apparaîtra dans les signalements d'exploitation au cours des prochaines semaines, ce qui la ferait probablement entrer au catalogue KEV. L'autre est de savoir si la série de bugs notés 10,0 dans Fusion Middleware se poursuivra dans le CPU d'octobre, après le lot de dix de juillet. La déclaration de remerciements d'Oracle pour cette livraison cite des chercheurs externes, dont James Forshaw, et des équipes comme Nebula Security, rappelant que ces correctifs partent de signalements privés plutôt que de découvertes publiques.

Pour l'heure, le travail défensif est sans éclat et à portée de main : identifier lesquelles des 17 familles de produits vous exploitez réellement, prioriser le middleware et les services d'annuaire exposés à internet, et corriger dans la fenêtre mensuelle plutôt que d'attendre le prochain cycle trimestriel.

Couverture : le siège d'Oracle à Redwood City, en Californie, par Davidlohr Bueso (CC BY 2.0) via Wikimedia Commons.