Oracle - CVE-2026-83399

Date de publication : 21/10/2026

Il s’agit d’une vulnérabilité dans le composant Core d’Oracle WebLogic Server.

Oracle WebLogic Server est un serveur d’applications Java EE intégré à Oracle Fusion Middleware. Il héberge et administre des applications d’entreprise. Il prend en charge les protocoles propriétaires T3 et IIOP pour la communication entre composants distants.

Elle est exploitable à distance par le réseau via les protocoles T3 et IIOP. Aucune authentification n’est requise. Aucune interaction utilisateur n’est nécessaire. La complexité d’attaque est faible. Oracle la qualifie de facilement exploitable. Le périmètre de sécurité n’est pas modifié. L’impact est élevé sur la confidentialité, l’intégrité et la disponibilité. Oracle ne publie pas le mécanisme technique du défaut.

Elle permet une prise de contrôle du serveur WebLogic par un attaquant distant non authentifié.

CVE-2026-83399

[Score CVSS v3.1 : 9.8]

Informations

La faille est activement exploitée : Non

Un correctif existe : Oui

Une mesure de contournement existe : Oui

Risques

Exécution de code arbitraire (à distance)

Exploitation

La vulnérabilité exploitée est du type
CWE-502 : Deserialization of Untrusted Data

Détails sur l'exploitation
•   Vecteur d'attaque : Réseau
•   Complexité de l'attaque : Faible
•   Privilèges nécessaires pour réaliser l'attaque : Aucun
•   Interaction d'un utilisateur ayant accès au produit est-elle nécessaire : Non
•   L'exploitation de la faille permet d'obtenir des droits privilégiés : En attente d’information

Preuve de concept
Actuellement, aucune preuve de concept n'est disponible en sources ouvertes.

Systèmes ou composants affectés

Oracle WebLogic Server versions 12.2.1.4.0, 14.1.1.0.0, 14.1.2.0.0 et 15.1.1.0.0.

Contournement provisoire

Bloquer les protocoles T3 et IIOP depuis les réseaux non fiables. Oracle recommande de bloquer les protocoles réseau nécessaires à l’attaque en attendant le correctif. Cette mesure peut casser des fonctions applicatives et doit être testée hors production. Elle ne constitue pas une solution durable.

Solutions ou recommandations

•   Oracle WebLogic Server 12.2.1.4.0 : correctif du Critical Patch Update d’octobre 2026.
•   Oracle WebLogic Server 14.1.1.0.0 : correctif du Critical Patch Update d’octobre 2026.
•   Oracle WebLogic Server 14.1.2.0.0 : correctif du Critical Patch Update d’octobre 2026.
•   Oracle WebLogic Server 15.1.1.0.0 : correctif du Critical Patch Update d’octobre 2026.