Laisser une application de gestion financière traîner sur Internet, c’est comme afficher son code de carte bleue en vitrine. Plus de 900 instances Oracle E-Business Suite (EBS) sont aujourd’hui exposées en ligne, pile au moment où une campagne d’exploitation vise une faille critique de cette suite. Plusieurs acteurs de la cybersécurité documentent déjà des attaques visant le vol de données et l’accès non autorisé.
Points clés
- Plus de 900 instances Oracle EBS sont exposées sur Internet, contre 450 quelques jours plus tôt selon Shadowserver.
- La faille critique CVE-2025-61882 est exploitée depuis au moins le 9 août 2025, l’acteur GRACEFUL SPIDER étant suspecté.
- Oracle a publié 55 correctifs pour EBS en juin 2026, dont six pour des failles exploitables à distance sans authentification.
- La chaîne d’attaque installe des web shells via un modèle XSLT malveillant pour du vol de données et de la persistance.
Plus de 900 instances à découvert
Le chiffre grimpe vite. Quelques jours plus tôt, Shadowserver ne suivait « que » 450 instances Oracle EBS exposées, dont près de 200 aux États-Unis et en Europe. Le nouveau décompte double la mise, sans préciser combien de systèmes ont déjà été corrigés ou isolés.
Oracle E-Business Suite gère des fonctions sensibles : finance, achats, chaîne logistique. Quand son interface reste accessible depuis Internet, elle devient une cible de premier choix, surtout sans correctif appliqué ni protection périmétrique.
Une exploitation liée à CVE-2025-61882
Le coupable désigné s’appelle CVE-2025-61882, une vulnérabilité critique d’Oracle EBS. Fin juin, CrowdStrike a confirmé suivre une campagne de masse exploitant presque certainement cette faille, avec un premier cas connu le 9 août 2025. Un acteur baptisé GRACEFUL SPIDER serait probablement impliqué, sans exclure que d’autres groupes se soient engouffrés dans la même brèche.
Oracle a publié son avis de sécurité le 4 octobre 2025, avec indicateurs techniques à l’appui : adresses IP, commandes observées, fichiers associés aux attaques. CrowdStrike décrit une chaîne d’attaque passant par des requêtes HTTP vers l’interface EBS, puis par le téléversement d’un modèle XSLT malveillant via le gestionnaire de modèles d’Oracle XML Publisher. Résultat dans plusieurs incidents : des web shells et un accès persistant aux environnements compromis.
« CrowdStrike Intelligence estime qu’un ou plusieurs acteurs malveillants ont presque certainement exploité une nouvelle vulnérabilité zero-day (désormais suivie sous CVE-2025-61882) dans la campagne d’exploitation de masse évoquée dans cet article. » (CrowdStrike Intelligence)
Un risque bien réel pour les instances non protégées
En juin 2026, Oracle a livré son Critical Security Patch Update avec 55 correctifs pour E-Business Suite. Six vulnérabilités y sont signalées comme exploitables à distance sans authentification. Le patch existe, mais tant que des instances restent exposées, les organisations concernées n’ont qu’une consigne simple : appliquer les correctifs, couper l’accès public quand c’est possible et surveiller les journaux d’accès anormaux.
Les équipes de réponse à incident convergent : mettre à jour Oracle, traquer les connexions sortantes suspectes depuis les serveurs EBS, inspecter les sessions et modèles modifiés en base, et planquer l’accès derrière un VPN ou un réseau d’administration. Dans les attaques déjà observées, l’objectif n’est pas de couper le service mais de siphonner les données et de s’installer durablement. Le pire des locataires, en somme.
