Oracle octobre 2026 : 34 CVE critiques, SOA Suite en tête, et une alerte Java hors cycle

Le Critical Patch Update d'Oracle d'octobre 2026 est arrivé dans NVD le 20 octobre, et il est lourd : 33 CVE notées CRITICAL, de 9.1 à 10.0, réparties sur quatorze produits. Le lendemain, Oracle a ajouté une alerte de sécurité hors cycle pour Java SE et GraalVM (CVE-2026-91403, 9.1), ce qui porte le total à 34.

Deux lignes de force se dégagent. D'abord, Oracle SOA Suite concentre à lui seul dix CVE critiques, dont trois à 10.0 sans authentification. Ensuite, six CVE atteignent 10.0 et aucune des six ne demande de compte : SOA Suite, E-Business Suite, JD Edwards et Access Manager. Ce sont des briques d'intégration et d'authentification, donc des points de passage vers le reste du SI.

Tous les scores ci-dessous sont ceux d'Oracle (CNA secalert_us@oracle.com). NVD n'a encore analysé aucune de ces CVE : la plupart sont en Awaiting Analysis, celles d'Essbase en Undergoing Analysis, celle de Java en Received, et aucune n'a de configuration CPE.

Les six CVE à 10.0

Cinq d'entre elles partagent le vecteur CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H : attaquant non authentifié, exploitation facile, changement de portée, et une issue qu'Oracle résume par un mot, takeover. La sixième, CVE-2026-87337 sur Access Manager, a un vecteur sans impact sur la disponibilité (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:N) mais atteint quand même 10.0.

Pourquoi ces six-là méritent ton attention en premier :

• Access Manager est la brique de SSO d'une pile Oracle. Une faille critique dans son Authentication Engine, avec un accès en lecture et en écriture aux données critiques, touche le contrôle d'accès de toutes les applications qu'il protège. Le changement de portée coté par Oracle dit la même chose.
• SOA Suite est la couche d'intégration : elle parle à l'ERP, au CRM, aux bases. Deux des trois 10.0 passent par T3 et IIOP, les protocoles WebLogic, ce qui signifie qu'un WAF placé devant le port HTTP ne protège de rien.
• Workflow Notification Mailer d'E-Business Suite traite des messages entrants : il est souvent joignable depuis plus d'endroits qu'on ne le croit.
• JD Edwards Orchestrator sert à brancher des flux IoT et des intégrations sur l'ERP : il est fréquemment exposé à des systèmes tiers.

Le reste du lot

9.9 : prise de contrôle avec un simple compte (15 CVE)

Toutes exigent un compte à faibles privilèges (PR:L). Chez Oracle, cela veut dire un utilisateur applicatif ordinaire : dans une organisation qui compte des centaines d'utilisateurs Essbase ou Siebel, ce n'est pas une barrière. Les deux CVE de Trusted Answer Search passent par Oracle Net, le protocole de la base de données, et celles d'Enterprise Manager visent la gestion de Data Guard, c'est-à-dire la réplication des bases.

9.6 : lecture et modification des données (4 CVE)

Compte à faibles privilèges, changement de portée, impact élevé sur la confidentialité et l'intégrité, pas sur la disponibilité.

9.3 : trois CVE sans authentification

Les deux premières ne demandent ni compte ni interaction. Celle d'Agile PLM for Process exige l'action d'un autre utilisateur (UI:R).

9.1 : six CVE, dont Java

L'alerte Java : CVE-2026-91403

Oracle ne publie une alerte hors cycle que lorsqu'il juge qu'une faille ne peut pas attendre le prochain patch trimestriel. Ici, le composant est JSSE, l'implémentation TLS de Java. La description précise que la faille est exploitable via les API du composant, par exemple au travers d'un service web qui leur transmet des données, et qu'elle concerne aussi les applications Java Web Start ou applets en sandbox qui exécutent du code non fiable.

Ce qui rend ce cas délicat : Java n'est pas un produit qu'on inventorie, c'est une dépendance embarquée dans des dizaines d'applications, de serveurs et d'appliances. Les JDK qui tournent chez toi sont probablement plus nombreux que ceux que tu as installés toi-même.

Versions affectées

Oracle liste les versions supportées affectées ; les versions antérieures non supportées ne sont pas évaluées et doivent être considérées comme exposées.

⚠️ Ces numéros sont les versions affectées, pas les versions corrigées. NVD ne publie aucune version corrective : le correctif se récupère sur My Oracle Support selon ta version exacte, à partir du bulletin cpuoct2026 et, pour Java, de l'alerte alert-cve-2026-91403.

Pour identifier ce qui tourne :

# Fusion Middleware (SOA, BPM, OHS, OAM) : inventaire des patchs du ORACLE_HOME
$ORACLE_HOME/OPatch/opatch lsinventory

# Java : version de chaque JVM présente sur un hôte
find / -name java -type f -perm -u+x 2>/dev/null | while read j; do echo "$j"; "$j" -version 2>&1 | head -1; done

Détection

• Ports WebLogic : pour les CVE SOA Suite et Essbase qui passent par T3 et IIOP, vérifie depuis un poste utilisateur standard quels ports du domaine WebLogic répondent. Un port T3 joignable depuis le réseau bureautique est un problème en soi.
• Journaux WebLogic : connexions T3/IIOP depuis des sources qui n'ont aucune raison d'invoquer des objets distants, erreurs de désérialisation ou de protocole inhabituelles.
• Access Manager : sessions créées sans authentification préalable cohérente, pics d'erreurs dans les journaux du serveur OAM.
• E-Business Suite : messages entrants anormaux traités par le Workflow Notification Mailer.
• Java : inventaire des JVM embarquées dans les applications tierces et les appliances, pas seulement des JDK installés par l'équipe système.

Mitigation

1. Commence par les six CVE à 10.0 : SOA Suite, Access Manager, E-Business Suite Workflow, JD Edwards Orchestrator. Pas de compte requis, prise de contrôle et changement de portée : c'est une fenêtre d'urgence, pas le cycle trimestriel habituel.
2. Filtre T3 et IIOP au niveau réseau sur tous les domaines WebLogic, avant même le patch : ces protocoles servent aux échanges entre composants, pas aux utilisateurs.
3. Ferme l'exposition Internet des consoles et services SOA, OAM, EBS et JDE qui ne doivent pas l'être.
4. Revois les comptes applicatifs sur Essbase, Siebel, Trusted Answer Search et Enterprise Manager : quinze CVE à 9.9 n'exigent qu'un compte à faibles privilèges.
5. Traite Java comme un chantier à part : mets à jour les JDK et JRE que tu maîtrises, puis demande à tes éditeurs quand leurs produits embarqueront une JVM corrigée.

Le lot d'août avait déjà montré la même concentration de failles critiques sur un petit nombre de produits Fusion Middleware : voir notre analyse du patch Oracle d'août 2026.

Pourquoi surveiller en continu ta pile Oracle

Un CPU Oracle, c'est un tableau de plusieurs centaines de lignes, des produits que personne ne sait plus situer, et des versions qui ne se lisent qu'avec OPatch. Rapprocher ce tableau de ce qui tourne réellement chez toi est un travail manuel, et c'est précisément pour ça que les CVE Oracle restent ouvertes des mois. L'alerte Java hors cycle ajoute une couche : la JVM embarquée que personne n'a inventoriée.

Avec cveo.tech, déclare tes composants Oracle, Fusion Middleware, E-Business Suite, Java, avec leur version exacte, et reçois une alerte dès qu'une CVE critique les concerne.