← Toutes les vulnérabilités exploitées (KEV)

Vulnérabilités Oracle activement exploitées (KEV)

Les 46 vulnérabilités Oracle dont la CISA a confirmé l’exploitation réelle, de la plus récente à la plus ancienne, dont 13 utilisées par des rançongiciels. Textes traduits automatiquement ; la fiche de la CISA fait foi.

CVE-2026-21962 — Oracle, HTTP Server et Oracle Weblogic Server Proxy Plug-in : vulnérabilité de contrôle d'accès incorrect Critique

Produit : Oracle HTTP Server and Oracle Weblogic Server Proxy Plug-in
Ajoutée au catalogue : 24 août 2026
Échéance CISA : 27 août 2026
Rançongiciels : pas d’usage connu
Faiblesse : CWE-284
Gravité : CVSS 10,0 (critique)
Probabilité d’exploitation (EPSS) : 73 %
Technologie : WebLogic

Oracle HTTP Server et Oracle Weblogic Server Proxy Plug-in contiennent une vulnérabilité de contrôle d'accès incorrect qui peut entraîner une création, une suppression ou une modification non autorisée d'accès aux données critiques, ainsi qu'un accès non autorisé aux données critiques ou un accès complet à toutes les données accessibles par Oracle HTTP Server et Oracle Weblogic Server Proxy Plug-in.

Action requise : Appliquer les mesures d'atténuation conformément aux instructions de l'éditeur, en assurant la conformité avec les directives BOD 26-04 de la CISA sur la priorisation des mises à jour de sécurité en fonction du risque (voir l'URL dans les notes) et les « Exigences de triage forensique » de la CISA (voir l'URL dans les notes). Suivre les directives BOD 26-04 applicables pour les services cloud ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles. Les parties prenantes sont responsables d'évaluer l'exposition Internet de chaque actif et d'assurer le respect des directives de correction BOD 26-04.

Références : NVD · CISA · oracle.com

Fiche détaillée : versions, références, chronologie →

CVE-2026-46817 — Oracle E-Business Suite : vulnérabilité de gestion incorrecte des privilèges Critique

Produit : Oracle E-Business Suite
Ajoutée au catalogue : 15 juillet 2026
Échéance CISA : 18 juillet 2026
Rançongiciels : pas d’usage connu
Faiblesse : CWE-269, CWE-287, CWE-306
Gravité : CVSS 9,8 (critique)
Probabilité d’exploitation (EPSS) : 12 %

Oracle E-Business Suite contient une vulnérabilité de gestion incorrecte des privilèges qui permet à un attaquant non authentifié ayant un accès réseau via HTTP de compromettre Oracle Payments. Des attaques réussies de cette vulnérabilité peuvent entraîner la prise de contrôle d'Oracle Payments.

Références : NVD · CISA · oracle.com

Fiche détaillée : versions, références, chronologie →

CVE-2026-35273 — Oracle PeopleSoft Enterprise PeopleTools : vulnérabilité d'absence d'authentification pour une fonction critique Critique

Produit : Oracle PeopleSoft Enterprise PeopleTools
Ajoutée au catalogue : 12 juin 2026
Échéance CISA : 15 juin 2026
Rançongiciels : utilisée dans des campagnes connues
Faiblesse : CWE-306
Gravité : CVSS 9,8 (critique)
Probabilité d’exploitation (EPSS) : 97 %

Oracle PeopleSoft Enterprise PeopleTools contient une vulnérabilité d'absence d'authentification pour une fonction critique qui pourrait permettre à un attaquant non authentifié d'obtenir la prise de contrôle de PeopleSoft Enterprise PeopleTools.

Références : NVD · CISA · oracle.com · support.oracle.com

Fiche détaillée : versions, références, chronologie →

CVE-2024-21182 — Oracle WebLogic Server : vulnérabilité non spécifiée

Produit : Oracle WebLogic Server
Ajoutée au catalogue : 1 juin 2026
Échéance CISA : 4 juin 2026
Rançongiciels : pas d’usage connu
Gravité : CVSS 7,5 (élevée)
Probabilité d’exploitation (EPSS) : 74 %
Technologie : WebLogic

Oracle WebLogic contient une vulnérabilité non spécifiée qui pourrait permettre à un attaquant non authentifié ayant un accès réseau via T3, IIOP de compromettre Oracle WebLogic Server. Des attaques réussies de cette vulnérabilité peuvent entraîner un accès non autorisé à des données critiques ou un accès complet à toutes les données accessibles de Oracle WebLogic Server.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur, suivre les directives BOD 22-01 applicables pour les services cloud, ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · oracle.com

CVE-2025-61757 — Oracle Fusion Middleware : absence d'authentification pour une fonction critique Critique

Produit : Oracle Fusion Middleware
Ajoutée au catalogue : 21 novembre 2025
Échéance CISA : 12 décembre 2025
Rançongiciels : pas d’usage connu
Faiblesse : CWE-306
Gravité : CVSS 9,8 (critique)
Probabilité d’exploitation (EPSS) : 89 %

Oracle Fusion Middleware contient une vulnérabilité d'absence d'authentification pour une fonction critique, permettant à des attaquants distants non authentifiés de prendre le contrôle d'Identity Manager.

Références : NVD · CISA · oracle.com

Fiche détaillée : versions, références, chronologie →

CVE-2025-61884 — Oracle E-Business Suite : vulnérabilité de falsification de requêtes côté serveur (SSRF)

Produit : Oracle E-Business Suite
Ajoutée au catalogue : 20 octobre 2025
Échéance CISA : 10 novembre 2025
Rançongiciels : utilisée dans des campagnes connues
Faiblesse : CWE-918
Gravité : CVSS 7,5 (élevée)
Probabilité d’exploitation (EPSS) : 96 %

Oracle E-Business Suite contient une vulnérabilité de falsification de requêtes côté serveur (SSRF) dans le composant Runtime d'Oracle Configurator. Cette vulnérabilité est exploitable à distance sans authentification.

Références : NVD · CISA · oracle.com

CVE-2025-61882 — Oracle E-Business Suite : vulnérabilité non spécifiée Critique

Produit : Oracle E-Business Suite
Ajoutée au catalogue : 6 octobre 2025
Échéance CISA : 27 octobre 2025
Rançongiciels : utilisée dans des campagnes connues
Gravité : CVSS 9,8 (critique)
Probabilité d’exploitation (EPSS) : 100 %

Oracle E-Business Suite contient une vulnérabilité non spécifiée dans le composant BI Publisher Integration. La vulnérabilité permet à un attaquant non authentifié ayant un accès réseau via HTTP de compromettre Oracle Concurrent Processing. Des attaques réussies peuvent entraîner la prise de contrôle d'Oracle Concurrent Processing.

Références : NVD · CISA · oracle.com

Fiche détaillée : versions, références, chronologie →

CVE-2024-20953 — Oracle Agile PLM : vulnérabilité de désérialisation

Produit : Oracle Agile Product Lifecycle Management (PLM)
Ajoutée au catalogue : 24 février 2025
Échéance CISA : 17 mars 2025
Rançongiciels : pas d’usage connu
Faiblesse : CWE-502
Gravité : CVSS 8,8 (élevée)
Probabilité d’exploitation (EPSS) : 4 %

Oracle Agile Product Lifecycle Management (PLM) contient une vulnérabilité de désérialisation qui permet à un attaquant à privilèges faibles ayant un accès réseau via HTTP de compromettre le système.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · oracle.com

CVE-2020-2883 — Oracle WebLogic Server : vulnérabilité non spécifiée Critique

Produit : Oracle WebLogic Server
Ajoutée au catalogue : 7 janvier 2025
Échéance CISA : 28 janvier 2025
Rançongiciels : pas d’usage connu
Gravité : CVSS 9,8 (critique)
Probabilité d’exploitation (EPSS) : 95 %
Technologie : WebLogic

Oracle WebLogic Server, un produit de la suite Fusion Middleware, contient une vulnérabilité non spécifiée exploitable par un attaquant non authentifié disposant d'un accès réseau via IIOP ou T3.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · oracle.com

Fiche détaillée : versions, références, chronologie →

CVE-2024-21287 — Oracle Agile PLM : vulnérabilité d'autorisation incorrecte

Produit : Oracle Agile Product Lifecycle Management (PLM)
Ajoutée au catalogue : 21 novembre 2024
Échéance CISA : 12 décembre 2024
Rançongiciels : pas d’usage connu
Faiblesse : CWE-863
Gravité : CVSS 7,5 (élevée)
Probabilité d’exploitation (EPSS) : 2 %

Oracle Agile Product Lifecycle Management (PLM) contient une vulnérabilité d'autorisation incorrecte dans le composant Process Extension du Software Development Kit. L'exploitation réussie de cette vulnérabilité peut entraîner une divulgation de fichiers non authentifiée.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · oracle.com

CVE-2022-21445 — Oracle ADF Faces : vulnérabilité de désérialisation de données non fiables

Produit : Oracle ADF Faces
Ajoutée au catalogue : 18 septembre 2024
Échéance CISA : 9 octobre 2024
Rançongiciels : pas d’usage connu
Faiblesse : CWE-502
Gravité : CVSS 9,8 (critique)
Probabilité d’exploitation (EPSS) : 62 %

La bibliothèque Oracle ADF Faces, incluse dans Oracle JDeveloper Distribution, contient une vulnérabilité de désérialisation de données non fiables menant à une exécution de code à distance non authentifiée.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · oracle.com

CVE-2020-14644 — Oracle WebLogic Server : vulnérabilité d'exécution de code à distance

Produit : Oracle WebLogic Server
Ajoutée au catalogue : 18 septembre 2024
Échéance CISA : 9 octobre 2024
Rançongiciels : pas d’usage connu
Gravité : CVSS 9,8 (critique)
Probabilité d’exploitation (EPSS) : 95 %
Technologie : WebLogic

Oracle WebLogic Server, un produit de la suite Fusion Middleware, contient une vulnérabilité de désérialisation. Des attaquants non authentifiés ayant un accès réseau via T3 ou IIOP peuvent exploiter cette vulnérabilité pour obtenir une exécution de code à distance.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · oracle.com

CVE-2017-3506 — Oracle WebLogic Server : injection de commandes système

Produit : Oracle WebLogic Server
Ajoutée au catalogue : 3 juin 2024
Échéance CISA : 24 juin 2024
Rançongiciels : pas d’usage connu
Faiblesse : CWE-78
Gravité : CVSS 7,4 (élevée)
Probabilité d’exploitation (EPSS) : 96 %
Technologie : WebLogic

Oracle WebLogic Server, un produit de la suite Fusion Middleware, contient une vulnérabilité d'injection de commandes système qui permet à un attaquant d'exécuter du code arbitraire via une requête HTTP spécialement élaborée contenant un document XML malveillant.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · oracle.com

CVE-2020-2551 — Oracle Fusion Middleware : vulnérabilité non spécifiée

Produit : Oracle Fusion Middleware
Ajoutée au catalogue : 16 novembre 2023
Échéance CISA : 7 décembre 2023
Rançongiciels : pas d’usage connu
Gravité : CVSS 9,8 (critique)
Probabilité d’exploitation (EPSS) : 93 %

Oracle Fusion Middleware contient une vulnérabilité non spécifiée dans les composants de base de WLS qui permet à un attaquant non authentifié ayant un accès réseau via IIOP de compromettre le serveur WebLogic.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · oracle.com

CVE-2016-3427 — Oracle Java SE et JRockit : vulnérabilité non spécifiée

Produit : Oracle Java SE and JRockit
Ajoutée au catalogue : 12 mai 2023
Échéance CISA : 2 juin 2023
Rançongiciels : pas d’usage connu
Gravité : CVSS 9,8 (critique)
Probabilité d’exploitation (EPSS) : 92 %
Technologie : Java

Oracle Java SE et JRockit contient une vulnérabilité non spécifiée qui permet à des attaquants distants d'affecter la confidentialité, l'intégrité et la disponibilité via des vecteurs liés aux extensions de gestion Java (JMX). Cette vulnérabilité peut être exploitée via des applications Java Web Start en bac à sable et des applets Java en bac à sable. Elle peut également être exploitée en fournissant des données aux API du composant spécifié sans utiliser d'applications Java Web Start en bac à sable ou d'applets Java en bac à sable, par exemple via un service web.