Oracle a alerté ses clients ce week-end sur une vulnérabilité critique dans la suite Oracle E-Business, une plateforme de gestion d’entreprise largement utilisée. Cette faille, notée 9,8 sur 10 en termes de gravité, peut être exploitée à distance sans nécessiter de nom d’utilisateur ni de mot de passe. Les utilisateurs doivent installer les correctifs d’une mise à jour d’octobre 2023 avant d’appliquer le nouveau correctif sorti samedi. Des indicateurs de compromission ont été fournis pour aider à détecter et contenir les potentielles violations.
Le FBI et les agences de cybersécurité du Royaume-Uni et de Singapour ont émis des avertissements similaires, soulignant l’urgence de corriger cette vulnérabilité. La Cybersecurity and Infrastructure Security Agency des États-Unis a ajouté ce bug à son catalogue de vulnérabilités exploitées et a ordonné à toutes les agences civiles fédérales de le corriger d’ici le 28 octobre.
Le groupe cybercriminel Clop est lié à une campagne récente visant à extorquer des dirigeants d’entreprise en menaçant de divulguer des informations sensibles prétendument volées via la suite Oracle E-Business. Clop aurait exploité plusieurs vulnérabilités, y compris celles corrigées dans la mise à jour de juillet 2025 et la faille récemment corrigée. Les experts en cybersécurité confirment que le code d’exploitation de cette faille est désormais public, ce qui accentue le risque pour les entreprises si elles ne prennent pas de mesures immédiates.
