if ( !emtpy($headline_subheadline ) ) : ?>
Quatre produits Oracle ont été affectés par les vulnérabilités les plus prioritaires, et de nombreux autres ont été corrigés par des failles critiques.
endif; ?>
Oracle a corrigé 1 295 vulnérabilités de sécurité avec son avis de mise à jour de correctif critique d’octobre ; six d’entre eux ont obtenu la note de vulnérabilité la plus élevée de 10,0 sur l’échelle CVSS version 3.1.
La suite phare Oracle E-Business de la société hébergeait l’une des vulnérabilités, identifiée comme CVE-2026-101809. Cela permet à tout attaquant non authentifié disposant d’un accès au réseau via HTTP de compromettre le courrier de notification de workflow dans le composant Workflow de la suite, prenant le contrôle de Workflow et affectant potentiellement également d’autres produits. La faille affecte les versions 12.2.3 à 12.2.15 de Workflow.
Oracle SOA Suite, qui fait partie d’Oracle Fusion Middleware, a été touché par trois des bogues notés 10.0.
L’un d’entre eux, suivi sous le numéro CVE-2026-91231, se trouve dans le composant Adaptateurs et permet à des attaquants non authentifiés de compromettre Oracle SOA Suite, entraînant ainsi sa prise de contrôle, avec un impact potentiel sur les produits connectés.
Deux autres se trouvaient dans le composant Fabric Layer d’Oracle SOA Suite : CVE-2026-91216 et CVE-2026-91221.
Les deux sont facilement exploitables, a déclaré Oracle, et permettent à un attaquant non authentifié disposant d’un accès au réseau via les protocoles T3 ou IIOP de compromettre Oracle SOA Suite et peut-être d’affecter également d’autres produits. Les bogues apparaissent dans les versions prises en charge 12.2.1.4.0 et 14.1.2.0.0.
Il existe également une vulnérabilité notée 10,0 dans une autre partie d’Oracle Fusion Middleware. La faille dans Oracle Access Manager (suivie comme CVE-2026-87337) la laisse ouverte à la compromission par tout attaquant non authentifié ayant accès au réseau via HTTP. Les attaques réussies de cette vulnérabilité peuvent entraîner la création, la suppression ou la modification non autorisée de données critiques sur les versions 12.2.1.4.0 et 14.1.2.1.0 d’Oracle Access Manager.
La dernière vulnérabilité « 10 parfaite » dans le dernier rapport d’Oracle se trouve dans le produit JD Edwards EnterpriseOne Orchestrator d’Oracle JD Edwards, suivi comme CVE-2026-91299. Cela permet à un attaquant non authentifié disposant d’un accès au réseau via HTTP de compromettre et de prendre le contrôle des versions 9.2.0.0 à 9.2.26.5 de l’orchestrateur.
DSI
