Le 21 juillet 2026, Oracle a publié près de 1.500 correctifs. Pour autant, aucun de ces correctifs n’aurait pu empêcher la tentative de vol d’identifiants par injection SQL décrite par la plateforme de sécurité Huntress le 27 juillet dernier.
« Après avoir obtenu un premier accès, l’acteur malveillant a déposé une boîte à outils de post-exploitation, appelée khunt, via une source Java au sein d’une base de données Oracle, ce qui constitue un aspect inédit de cette attaque », détaille Huntress. « Il s’agit d’une technique déjà décrite ces dernières années, notamment via une technique appelée oraexec. Cependant, son utilisation en conditions réelles a rarement été documentée ».
Huntress souligne des angles morts critiques : les outils EDR/AV n’inspectent pas les classes Java et wrappers PL/SQL d’Oracle, et les comptes de base de données sur provisionnés ont facilité l’attaque.
« Même si le système avait été entièrement mis à jour et que tout avait fonctionné correctement, cette attaque se serait tout de même produite », affirme Craig Savage, responsable de la cybersécurité chez Spinnaker Support, un prestataire de services d’assistance Oracle. « En effet, il est possible de créer et d’exécuter des programmes Java au sein même de la base de données Oracle mais cela ne devrait pas être une fonctionnalité accessible à un serveur web. Dans un environnement Oracle de production, cette fonctionnalité devrait être verrouillée. Elle ne devrait être réactivée que pendant une fenêtre de développement ou de maintenance, par exemple. La configuration était inadéquate, la sécurité insuffisante, mais il ne s’agissait pas d’une faille d’Oracle ».
Et d’ajouter que les cybercriminels cherchent de plus en plus souvent à exploiter ce type de fonctionnalité, plutôt que d’utiliser des vulnérabilités ou des failles zéro-day. « Les cybercriminels connaissent désormais les produits. Ils ne se contentent pas de savoir comment les pirater. Ils savent également quelles fonctionnalités ils peuvent potentiellement exploiter si celles-ci ont été activées ».
Comme quoi, appliquer les correctifs en temps et en heure ne suffit plus.
