Des pirates commencent à sonder une faille dans Oracle E-Business Suite, le logiciel de gestion d’entreprise de l’éditeur, rapporte SecurityWeek dans un article du 28 octobre 2026. La vulnérabilité, identifiée sous le numéro CVE-2026-101767, est une injection SQL qui ne demande aucune authentification et peut servir à exécuter du code à distance.
L’essentiel
- SecurityWeek rapporte le 28 octobre 2026 que des pirates sondent une nouvelle vulnérabilité du logiciel de gestion d’Oracle.
- La vulnérabilité CVE-2026-101767 ne demande aucun mot de passe et peut servir à exécuter du code à distance.
- La source ne précise ni le lieu, ni le secteur d’activité des organisations visées par ces sondages.
Ce que l’on sait de l’incident
Selon SecurityWeek, dans son article du 28 octobre 2026, des pirates ont commencé à chercher les systèmes vulnérables. La source ne précise pas où ces tentatives ont été observées, donc ni le pays, ni la province, ni la ville. Elle ne nomme aucune victime et ne précise aucun secteur d’activité.
Le mécanisme se résume simplement. Un logiciel de gestion joignable depuis Internet accepte des demandes venant de l’extérieur. Une faille d’injection permet qu’une de ces demandes soit comprise par la base de données comme un ordre à exécuter plutôt que comme une simple question. Comme aucun mot de passe n’est requis, un attaquant n’a pas besoin d’un compte volé au préalable. Un sondage de ce type peut rester sans suite, mais il sert souvent à repérer les systèmes vulnérables avant une éventuelle tentative d’exploitation.
Une faille dans Oracle E-Business Suite concerne aussi les PME d’ici
Ce produit équipe surtout de grandes organisations, mais le scénario se transpose sans effort. Un logiciel de gestion, de facturation ou de prise de commande accessible depuis Internet peut devenir une porte d’entrée lorsqu’un correctif tarde. Une PME québécoise pourrait alors voir sa facturation ou ses expéditions interrompues, sans équipe de garde pour réagir.
La question n’est donc pas de savoir si vous utilisez ce produit précis, mais de savoir ce que vous exposez et depuis combien de temps. Le Centre canadien pour la cybersécurité place la gestion des correctifs parmi ses contrôles de base pour les petites et moyennes organisations. Les vulnérabilités connues publiquement sont en effet celles que l’on exploite en série. Nous le disons sans détour: il n’existe pas de protection absolue, mais corriger vite rend ce scénario nettement plus difficile.
Les vérifications à faire cette semaine
Commencez par l’inventaire, car aucune décision de sécurité ne tient sans lui. Vous devez savoir quels logiciels de gestion sont joignables depuis Internet, quelle version est installée, qui lit les avis de l’éditeur et qui a le mandat d’appliquer un correctif urgent sans attendre une réunion.
Demandez à votre prestataire informatique la liste écrite des logiciels d’affaires accessibles depuis Internet, avec leur version. Faites préciser par la direction qui autorise l’installation d’un correctif urgent et selon quelle règle interne. Chargez la comptabilité de confirmer que les données sensibles contenues dans ces outils, paie et dossiers clients, sont sauvegardées ailleurs. Inscrivez enfin au calendrier une revue régulière des avis de l’éditeur et du catalogue des vulnérabilités dont l’exploitation est confirmée, tenu par la CISA.
FAQ
Notre entreprise utilise Oracle E-Business Suite, par quoi commencer?
Vérifiez d’abord si le logiciel est joignable depuis Internet ou seulement depuis votre réseau interne, puis si le correctif publié par l’éditeur est bien installé. Confiez ces deux vérifications à l’équipe qui administre vos systèmes et demandez une réponse écrite. Les tentatives de sondage sont déjà observées, selon SecurityWeek, ce qui justifie de ne pas repousser ces vérifications. Si la mise à jour doit attendre, demandez quelles mesures temporaires sont possibles.
Une petite entreprise est-elle vraiment visée par ce genre de faille?
Oui, parce que la recherche de systèmes vulnérables est automatisée et ne trie pas par taille. Un attaquant balaie Internet et note les adresses qui répondent. C’est d’abord la version de logiciel exposée qui attire ce type de balayage, bien plus que le chiffre d’affaires de l’entreprise. Le Centre canadien pour la cybersécurité rappelle que toutes les organisations canadiennes sont exposées, y compris les plus petites.
Comment savoir si un de nos logiciels est accessible depuis Internet?
Posez la question à la personne qui administre vos systèmes, en demandant la liste des services publiés vers l’extérieur: portail client, accès à distance, outil de facturation, serveur de courriel. Demandez pour chacun s’il est vraiment nécessaire qu’il soit joignable publiquement. Ce qui peut rester accessible seulement par votre réseau privé réduit fortement l’exposition, et méfiez-vous de tout discours qui vous promet une protection totale.
Sources
- SecurityWeek · presse, 28 octobre 2026
- Centre canadien pour la cybersécurité : contrôles de cybersécurité de base pour les petites et moyennes organisations · liste de contrôles de référence
- CISA, Known Exploited Vulnerabilities Catalog · vulnérabilités dont l’exploitation est confirmée
Source : SecurityWeek · https://www.securityweek.com/hackers-start-probing-fresh-oracle-ebs-vulnerability/
Article préparé par la veille de RISS Canada à partir des sources publiques citées ci-dessus, avec l’aide d’outils d’intelligence artificielle, puis contrôlé selon notre charte éditoriale.
