Le nombre record de correctifs dans la mise à jour des correctifs critiques de ce trimestre couvre 32 familles de produits.
La mise à jour critique des correctifs d’Oracle de juillet 2026, la plus importante jamais réalisée, contient 1 449 nouveaux correctifs de sécurité couvrant 32 familles de produits, depuis Oracle Database et E-Business Suite jusqu’à PeopleSoft, GoldenGate, Java SE et Fusion Middleware.
Fusion Middleware a été particulièrement touché, avec de nouveaux correctifs de sécurité pour 355 vulnérabilités de sécurité, dont 219 exploitables à distance sans authentification, ce qui signifie qu’elles peuvent être exploitées sur un réseau sans nécessiter d’informations d’identification de l’utilisateur. Dix d’entre eux ont obtenu une note « parfaite » de 10,0 au Common Vulnerability Scoring System (CVSS).
Celles-ci comprenaient des vulnérabilités facilement exploitables permettant à des attaquants non authentifiés ayant accès au réseau via HTTP de compromettre Oracle Data Integrator, Oracle Access Manager, Oracle HTTP Server, Oracle Platform Security for Java, Oracle WebCenter Content, Service Delivery Platform ou Oracle Weblogic Server Proxy Plug-in,
Aucun autre produit ne présente des vulnérabilités aussi extrêmes, mais de nombreux autres produits obtiennent des résultats presque aussi mauvais.
Deux failles critiques dans Oracle Database Server
La faille la plus grave corrigée par Oracle dans son produit de base de données phare est CVE-2026-61211, une vulnérabilité du package DBMS_CLOUD du composant RDBMS avec un score CVSS de 9,9.
Cette vulnérabilité facilement exploitable permet à un attaquant peu privilégié disposant du privilège Execute DBMS_CLOUD avec un accès réseau via Oracle Net de compromettre le SGBDR, a déclaré Oracle dans la déclaration de mise à jour du correctif. « Bien que la vulnérabilité concerne le SGBDR, les attaques peuvent avoir un impact significatif sur des produits supplémentaires (changement de portée). Des attaques réussies de cette vulnérabilité peuvent entraîner la prise de contrôle du SGBDR », prévient-il.
La faille affecte les versions 19.3 à 19.31 et 23.4.0 à 23.26.2 du serveur de base de données.
Sanchit Vir Gogia, analyste en chef chez Greyhound Research, a déclaré que la note de 9,9 doit être considérée comme sérieuse mais conditionnelle. L’exposition dépend de la configuration, a-t-il déclaré : sur les bases de données gérées par le client, DBMS_CLOUD est absent jusqu’à son installation, et les autorisations et les listes d’accès réseau déterminent le rayon à partir de là. « Là où DBMS_CLOUD est largement accordé et accessible, l’urgence est réelle et la fenêtre est de soixante-douze heures ; là où elle est absente, la vague accélérée de bases de données fera l’affaire. »
Vibhum Dubey, chercheur en cybersécurité et membre de l’équipe rouge, a déclaré que la faille lui a marqué car elle coche plusieurs cases qui préoccupent les défenseurs.
« Les serveurs de bases de données contiennent souvent les données les plus précieuses d’une organisation, donc même si leur exploitation n’est pas encore publiquement observée, je ne pense pas que ce soit le genre de problème que vous laisserez jusqu’à la prochaine fenêtre de maintenance de routine si votre environnement est exposé », a déclaré Dubey.
Une deuxième faille du serveur de base de données, CVE-2026-47040, affecte Connection Manager dans Oracle Net Services et est exploitable à distance sans informations d’identification. La matrice des risques d’Oracle répertorie six vulnérabilités des produits de base de données dans ce cycle comme étant accessibles via un réseau sans aucune authentification requise, ajoute le communiqué.
CVE-2026-7383, une vulnérabilité TLS liée à OpenSSL, affecte deux produits, Database Server et Autonomous Health Framework, car tous deux regroupent le même composant tiers. L’avis d’Oracle note que le correctif du serveur de base de données pour ce CVE résout également 19 CVE OpenSSL associés regroupés dans le même correctif.
Oracle GoldenGate a reçu 27 nouveaux correctifs, dont neuf ne nécessitent pas d’authentification pour être exploités, dont CVE-2026-2332, une faille dans le composant Big Data et Application Adapters liée à Eclipse Jetty, ajoute le communiqué.
Il y avait également deux failles critiques dans la base de données en mémoire TimesTen d’Oracle.
Le reste de la version couvre E-Business Suite, WebLogic Server, PeopleSoft, Siebel, JD Edwards, Communications, Retail Applications, Utilities Applications, MySQL, Solaris et VM VirtualBox.
Réparation de volumes
Gogia a déclaré que le volume lui-même marque un changement.
« Avec 1 449 correctifs, contre 481 en avril 2026 et 309 un an plus tôt, la charge de correctifs a dépassé la file d’attente construite pour les contenir », a-t-il déclaré. Il a recommandé une réponse échelonnée : « Les personnes accessibles et signalées dans un délai de soixante-douze heures, le noyau de confiance dans un délai de dix jours, le reste par risque avant la sortie d’octobre. »
Il a également signalé un risque spécifique lié à la manière dont les organisations pourraient trier E-Business Suite. « L’avis d’Oracle admet que l’exposition à E-Business Suite réside en partie dans les versions sous-jacentes de base de données et de Fusion Middleware en dehors de la matrice d’E-Business Suite. Le moyen le plus rapide de mal prioriser cette version est d’appliquer les correctifs par logo de produit plutôt que par limite de confiance. «
Troisième mardi, cycle trimestriel
La version de juillet est la troisième mise à jour trimestrielle des correctifs critiques de 2026 et la première depuis l’introduction en mai du programme mensuel de mise à jour des correctifs critiques de sécurité.
Gogia a déclaré qu’Oracle avait effectivement superposé une deuxième cadence à celle existante plutôt que de la remplacer.
« Les mises à jour trimestrielles des correctifs critiques restent et restent cumulatives ; les mises à jour mensuelles des correctifs de sécurité critiques occupent désormais la première place », a-t-il déclaré, ajoutant que l’adoption du nouveau rythme par les entreprises reste faible en raison « des obligations de certification, de l’exposition à la régression et du nombre limité d’heures de spécialistes ».
Dubey a fait valoir un point similaire à propos de la préparation organisationnelle : « Dans les grandes entreprises, l’application de correctifs est rarement un problème technique. Il s’agit d’un problème opérationnel. Les administrateurs de bases de données, les propriétaires d’applications, les équipes d’infrastructure, les parties prenantes de l’entreprise et les conseils consultatifs en matière de changement doivent tous s’aligner. »
Niyati Daftary, analyste principal chez Gartner, a déclaré que cette publication souligne un changement plus large dans la manière dont les correctifs sont abordés.
« L’application de correctifs n’est plus une course pour remédier à chaque vulnérabilité. Il s’agit d’une discipline consistant à identifier les expositions les plus importantes et à réduire les risques commerciaux aussi efficacement que possible », a-t-elle déclaré, ajoutant que les organisations devraient établir des priorités en fonction de l’exposition, de l’impact commercial et de l’exploitabilité, en commençant par les actifs connectés à Internet et les systèmes critiques.
Daftary a souligné la gestion continue de l’exposition aux menaces et la validation de l’exposition adverse comme des cadres de plus en plus pertinents, puisque les scores CVSS « mesurent la gravité théorique plutôt que le risque réel de l’entreprise ». Les correctifs à eux seuls ne suffiront pas, a déclaré Daftary, et les organisations devraient continuer à investir en profondeur dans la défense, y compris la détection des menaces comportementales et la réponse aux incidents.
La prochaine mise à jour cumulative des correctifs critiques d’Oracle aura lieu le 20 octobre 2026, avec des mises à jour de correctifs de sécurité critiques plus petites les 18 août et 15 septembre.
