La faille d’Oracle E-Business Suite a été exploitée avant la publication d’un code de preuve de concept

Les chercheurs affirment que des attaquants ont commencé à cibler une vulnérabilité critique d’Oracle E-Business Suite plusieurs semaines après la publication du correctif, et avant la mise à disposition de tout code d’exploitation public. Cette activité laisse penser que l’acteur malveillant a pu rétroconcevoir le correctif d’Oracle ou obtenir à l’avance un exploit privé.

Defused a signalé la première exploitation observée de CVE-2026-46817 le 27 juin. La faille affecte le module Payments, plus précisément le composant Oracle Payments File Transmission, dans les versions 12.2.3 à 12.2.15 d’E-Business Suite. Oracle a corrigé le problème dans le cadre de sa mise à jour de sécurité critique de mai. La vulnérabilité affiche un score CVSS de 9,8 et peut permettre à des attaquants non authentifiés de lire des fichiers arbitraires sur des serveurs exposés.

Des signes d’exploitation ciblée

Selon les chercheurs, l’activité ne ressemblait pas au balayage généralisé d’Internet souvent observé après la divulgation d’une faille grave. Leurs pots de miel n’ont enregistré que six tentatives, toutes provenant d’une même source et semblant toutes utiliser un exploit opérationnel. Les requêtes visaient à récupérer des fichiers sensibles, ce qui, selon Defused, suggère le test ou la validation d’une technique plutôt qu’une exploitation opportuniste à grande échelle.

Les chercheurs ont relevé que l’exploitation avait commencé avant la disponibilité d’un code de preuve de concept public, ce qui renforce l’hypothèse selon laquelle les attaquants ont soit analysé le correctif d’Oracle pour découvrir la faille, soit obtenu un exploit par d’autres moyens.

Une exposition plus large chez les clients d’Oracle

La Shadowserver Foundation indique suivre actuellement environ 950 instances d’Oracle E-Business Suite exposées à l’Internet public, dont la plupart se trouvent aux États-Unis. Le groupe précise toutefois qu’une exposition ne signifie pas nécessairement qu’un système est vulnérable, car certains peuvent déjà avoir été corrigés ou protégés par des mesures de sécurité non visibles depuis l’extérieur.

L’incident s’ajoute à une série d’attaques visant des logiciels professionnels. Au début du mois, des chercheurs ont décrit l’exploitation d’une vulnérabilité zero-day de PeopleSoft avant le déploiement généralisé des correctifs. L’an dernier, des clients d’Oracle E-Business Suite avaient également été touchés par une campagne plus longue attribuée à Clop, qui ciblait des serveurs accessibles depuis Internet avant que cette activité ne soit rendue publique.

Les chercheurs en sécurité affirment que ces affaires soulignent un risque bien connu pour les utilisateurs de logiciels professionnels : dès qu’un éditeur publie un correctif, les attaquants peuvent considérer la mise à jour comme un guide vers la faille sous-jacente et agir rapidement contre les organisations qui ne l’ont pas encore installée.