Faille Oracle EBS sondée 🚨, Veeam corrige une faille critique 🔧, Vulnérabilités IoT et téléviseurs 📺

Bonjour, voici ta veille Cybere du 29 octobre 2026 !

Oracle EBS subit déjà des sondages malveillants sur une faille d'authentification récemment corrigée. De son côté, Veeam déploie un correctif critique pour bloquer un contournement d'autorisation sur sa CDP. Enfin, un rapport IoT révèle que les téléviseurs, prises connectées et NAS concentrent deux tiers des vulnérabilités observées en réseau.

Retrouve les trois articles à la une du jour :

• Alerte Oracle EBS (CVE-2026-101767) : tentatives d'exploitation d'une injection SQL permettant d'exécuter du code distant
• Correctif Veeam (CVE-2026-108142) : une vulnérabilité dans le service CDP Coordinator autorise un contournement d'accès sans authentification
• Bilan IoT 2026 : les téléviseurs, prises intelligentes et NAS représentent 67,1 % des vulnérabilités recensées sur plus de 10 millions de routeurs

Des pirates sondent une faille critique d'Oracle EBS

Des acteurs malveillants ont commencé à sonder la CVE-2026-101767 (CVSS 9.8), une faille d'authentification défaillante dans l'Oracle Application Object Library d'Oracle E-Business Suite, corrigée la semaine dernière. Selon Defused Cyber, ses leurres EBS ont enregistré des tentatives d'exploitation exploratoires le 27 octobre.

Horizon3.ai, dont les chercheurs Brandon Peterson, Jimi Sebree et Noah King ont signalé la faille à Oracle le 24 juillet 2026, la décrit comme une injection SQL non authentifiée, enchaînable en exécution de code à distance. Une requête forgée vers le servlet TCF /OA_HTML/AppsTCFServer exécute du SQL avec les droits de l'utilisateur APPS, puis des commandes système avec ceux du compte applicatif EBS.

Points d'attention

• Selon Horizon3.ai, les données lisibles ou modifiables via APPS peuvent inclure des enregistrements financiers, de paie, RH et d'achats.
• Horizon3.ai cite comme marqueur des requêtes POST non authentifiées instanciant la classe oracle.apps.jtf.gantt.server.GanttDataServer, suivies d'une reconnaissance SQL portant sur la version de la base et l'utilisateur courant.
• Deux autres failles critiques d'EBS, CVE-2025-61882 et CVE-2026-46817 (CVSS 9.8), ont été exploitées en conditions réelles ces douze derniers mois, la première par le groupe Cl0p.

→ Lire la source

Veeam corrige une faille critique dans son serveur de sauvegarde

Veeam a publié le 27 octobre 2026 le bulletin KB4948 avec Backup & Replication 13.1.2. Il référence quatre failles, dont trois dans Backup & Replication et une dans Veeam Agent pour Linux. La plus grave, la CVE-2026-108142 (CVSS 9.1), située dans le service CDP Coordinator, permet à un attaquant non authentifié de contourner l'autorisation.

Selon Veeam, la faille est exploitable à distance, sans privilèges ni interaction, mais n'ouvre pas directement l'exécution de code. Elle touche Windows et la Software Appliance Linux jusqu'aux versions 13.1.1.18 et 13.0.2.29, la version 12 étant épargnée. Les builds 13.1.2.57 et 13.0.3.63 la corrigent.

Points d'attention

• Le service CDP Coordinator s'exécute sur le serveur de sauvegarde et coordonne la réplication et le transfert de données de la fonction Continuous Data Protection.
• Les CVE-2026-108140 et CVE-2026-108141 (CVSS 5.9) exigent à la fois le rôle Restore Operator et le contrôle d'un partage NAS sauvegardé.
• Le bulletin ne signale aucune exploitation active, mais Veeam rappelle que les attaquants analysent les correctifs publiés pour cibler les serveurs non corrigés.

→ Lire la source

Téléviseurs, prises et NAS concentrent 67,1 % des observations de vulnérabilités

Bitdefender et Netgear ont publié le 22 octobre leur 2026 IoT Security Landscape Report, fondé sur les événements observés de janvier à septembre 2026 sur environ 10,4 millions de routeurs. Les téléviseurs (22,7 %), les prises connectées (22,4 %) et les NAS (22 %) concentrent 67,1 % des observations de vulnérabilités.

Les capteurs ont enregistré 5,4 milliards d'événements de sécurité, dont 90,1 % de scans de ports, étape de reconnaissance préalable à d'autres opérations. Les tentatives de force brute représentent 466,6 millions d'événements, dont 455 millions visaient le protocole RDP, utilisé pour l'accès à distance aux systèmes Windows.

Points d'attention

• Les produits connectés servent cinq à dix ans, mais leur support logiciel se limite souvent à deux à quatre ans, selon Bitdefender.
• Des SDK d'applications gratuites peuvent ouvrir un proxy local sur un téléviseur, le trafic de tiers étant associé à l'adresse IP du foyer.
• Bitdefender n'a pas vérifié indépendamment certaines estimations de Gamers Nexus sur la collecte de données des téléviseurs LG, qui restent des signalements rapportés.

→ Lire la source

Autres actus importantes

• Volt Typhoon dissimule des attaques zero day via le framework 'Silent Train
• La police saisit le service de bulletproofing Virtualine lié aux rançongiciels et à la cybercriminalité
• Sortie d'environnement : OpenAI met ses agents hors ligne après plusieurs failles de confinement
• « Un bug éternel » : cette faille critique se cache dans le démarrage de la plupart des serveurs du monde, et la corriger relève du casse-tête

Merci d'avoir pris le temps de me lire. Si tu as trouvé cette newsletter utile, n'hésite pas à la partager autour de toi ✉️

À demain pour la prochaine veille 🔐 – Kilian de Cybere