Skip to content
Hacker Posts

Oracle WebLogic : 29 CVE corrigées au CPU d'octobre 2026 (AVI-1355)

Le CERT-FR relaie 29 vulnérabilités dans Oracle WebLogic Server et son Proxy Plug-in, corrigées par le Critical Patch Update d'octobre 2026 : intégrité, confidentialité et déni de service à distance.

Publié le 2 min de lecture
oraclealertecveweblogiccert-fr

Le CERT-FR a publié le 21 octobre l'avis CERTFR-2026-AVI-1355, qui relaie 29 vulnérabilités dans Oracle WebLogic Server et son Proxy Plug-in. Elles sont corrigées par le Critical Patch Update Oracle d'octobre 2026, daté du 20 octobre. WebLogic est un serveur d'applications Java EE largement déployé en frontal, et historiquement l'une des cibles les plus exploitées du parc Oracle — la mise à jour se traite en priorité.

Versions concernées

D'après le CERT-FR :

  • Oracle WebLogic Server Proxy Plug-in 12.2.1.4.0 et 14.1.2.0.0
  • Oracle WebLogic Server 12.2.1.4.0
  • Oracle WebLogic Server 14.1.2.0.0
  • Oracle WebLogic Server 15.1.1.0.0

Nature des failles

Le CERT-FR ne publie pas de score CVSS ni de niveau de gravité global. Il liste les risques suivants : atteinte à l'intégrité des données, atteinte à la confidentialité des données et déni de service à distance. Le détail CVE par CVE — vecteur, score, composant — figure dans le bulletin Oracle cpuoct2026, auquel l'avis renvoie.

Les 29 identifiants listés par l'avis : CVE-2023-43622, CVE-2025-7962, CVE-2026-101515, CVE-2026-12817, CVE-2026-41838, CVE-2026-41839, CVE-2026-41840, CVE-2026-41841, CVE-2026-41842, CVE-2026-41843, CVE-2026-41844, CVE-2026-41845, CVE-2026-41846, CVE-2026-41848, CVE-2026-41850, CVE-2026-41851, CVE-2026-41852, CVE-2026-41853, CVE-2026-41854, CVE-2026-41855, CVE-2026-49844, CVE-2026-59645, CVE-2026-83379, CVE-2026-83399, CVE-2026-87300, CVE-2026-87302, CVE-2026-91323, CVE-2026-91502 et CVE-2026-9563.

La présence de CVE-2023-43622 et CVE-2025-7962 — des failles de composants tiers plus anciennes — indique que ce lot inclut des correctifs de dépendances embarquées, pas seulement du code Oracle de l'année.

Exploitation

L'avis ne mentionne aucune exploitation connue ou active au moment de la publication.

Que faire

  1. Recensez chaque instance WebLogic et chaque déploiement du Proxy Plug-in, en notant la version exacte (12.2.1.4.0, 14.1.2.0.0 ou 15.1.1.0.0).
  2. Appliquez le Critical Patch Update d'octobre 2026 ; priorisez les instances exposées sur Internet ou en frontal applicatif.
  3. Vérifiez la correspondance CVE ↔ composant dans le bulletin cpuoct2026 pour les configurations non concernées par certaines failles.
  4. En attendant la fenêtre de patch, limitez l'exposition réseau des consoles d'administration et des ports T3/IIOP, vecteurs classiques d'attaque WebLogic.

Contexte

WebLogic revient à chaque CPU trimestriel et figure régulièrement au catalogue KEV de la CISA pour des RCE non authentifiées sur T3/IIOP. Un lot de 29 CVE n'a rien d'exceptionnel pour ce produit, mais la nature du serveur — frontal Java d'applications métier, souvent exposé — fait que le calendrier d'application prime sur le score affiché. Les correctifs sont disponibles ; la fenêtre entre un CPU Oracle et les premiers scans opportunistes se compte en jours.

Articles liés