Oracle confirme CVE-2026-65914, une faille distante sans authentification à corriger rapidement
Oracle a publié le 18 août 2026 la version définitive de son Critical Security Patch Update (CSPU) d’août. La publication contient 943 nouveaux correctifs de sécurité et recommande explicitement aux clients de maintenir leurs produits sur des versions supportées et d’appliquer les patches sans délai.
Pour MySQL AI, cette matrice apporte surtout une information désormais précise : CVE-2026-65914 touche le composant AI: Console (DOMPurify). Oracle indique que la vulnérabilité utilise HTTP, qu’elle peut être exploitée à distance sans authentification, sans privilèges et sans interaction de l’utilisateur, avec un score CVSS 3.1 de 7,2. Les versions supportées affectées sont MySQL AI 9.4.0 à 9.7.2 ainsi que 26.7.0.
La distinction est essentielle : les cinq vulnérabilités MySQL exploitables sans authentification annoncées par Oracle ne concernent pas toutes MySQL AI. La matrice finale n’en attribue qu’une à ce produit. Les quatre autres concernent MySQL Cluster et MySQL Shell.
Quelle faille de sécurité touche exactement MySQL AI en août 2026 ?
La vulnérabilité à retenir est CVE-2026-65914. Oracle l’associe à MySQL AI, plus précisément au composant AI: Console (DOMPurify). La matrice de risque indique un vecteur réseau, une faible complexité d’attaque, aucun privilège requis et aucune interaction utilisateur nécessaire.
En clair, l’attaquant n’a pas besoin de disposer au préalable d’un compte MySQL AI selon la classification publiée par Oracle. La colonne « Remote Exploit without Auth.? » est explicitement marquée Yes.
Il faut toutefois éviter une confusion fréquente en cybersécurité : « exploitable à distance sans authentification » ne signifie pas automatiquement que la faille est actuellement exploitée massivement sur Internet.
L’avis Oracle décrit les conditions techniques d’exploitation et demande une application rapide des correctifs, mais il ne déclare pas dans cette matrice que CVE-2026-65914 fait déjà l’objet d’une campagne d’exploitation active.
Pour CritiquePlus, cette nuance est importante. Le risque est suffisamment sérieux pour justifier une vérification et un patch rapides, sans transformer pour autant la vulnérabilité en campagne de cyberattaque confirmée sans preuve officielle.
Quelles versions de MySQL AI sont affectées par CVE-2026-65914 ?
Oracle identifie précisément les versions supportées suivantes :
- MySQL AI 9.4.0 à 9.7.2
- MySQL AI 26.7.0
Ces versions apparaissent directement dans la colonne « Supported Versions Affected » de la matrice Oracle.
La branche 26.7.0 mérite une attention particulière, puisqu’Oracle l’a publiée le 28 juillet 2026 afin d’aligner le numéro de version de MySQL AI sur celui de MySQL Server 26.7.0. Oracle précise que cette version n’introduisait pas de changement fonctionnel.
Un administrateur utilisant l’une de ces versions doit donc consulter les instructions de patch correspondant à son environnement et ne pas se contenter de vérifier la version principale de MySQL Server.
Pour revenir aux fondamentaux du moteur de base de données, CritiquePlus propose également son guide complet de MySQL, mis à jour en 2026.
Pourquoi la faille MySQL AI CVE-2026-65914 peut-elle être exploitée sans compte utilisateur ?
La matrice Oracle attribue à CVE-2026-65914 les caractéristiques suivantes : protocole HTTP, vecteur d’attaque Network, complexité Low, privilèges requis None et interaction utilisateur None.
Ces paramètres expliquent pourquoi la vulnérabilité mérite une attention rapide lorsqu’une interface concernée est accessible depuis un réseau non fiable.
Oracle ne publie cependant pas dans cette matrice un scénario d’exploitation détaillé permettant de déterminer précisément quelle requête déclenche la vulnérabilité, ni dans quelles configurations la AI: Console est directement joignable depuis Internet. Il serait donc prématuré d’inventer un chemin d’attaque plus précis.
La documentation officielle de MySQL AI apporte néanmoins un élément intéressant sur la surface réseau du produit. Oracle avertit que, dans une installation supportée de MySQL AI, le MySQL Shell GUI server et le MySQL REST server fonctionnent sur la même machine que MySQL Server et peuvent permettre un accès depuis un hôte distant, y compris dans certaines situations où l’utilisateur MySQL est normalement limité à localhost.
Oracle recommande d’ailleurs aux administrateurs de réfléchir à cette exposition en production et indique notamment qu’ils peuvent ne pas installer MySQL Shell GUI et MySQL REST Service lorsqu’ils n’en ont pas besoin.
Cela ne permet pas d’affirmer que le composant vulnérable AI: Console est automatiquement exposé sur Internet. En revanche, cela justifie une vérification immédiate des interfaces HTTP réellement accessibles dans chaque déploiement.
Les neuf failles Oracle MySQL concernent-elles toutes MySQL AI ?
Non. C’est précisément ce que la matrice définitive permet désormais de clarifier.
Oracle annonce 9 nouveaux patches pour la famille Oracle MySQL, dont 5 corrigent des vulnérabilités potentiellement exploitables à distance sans authentification.
Mais les cinq vulnérabilités sans authentification se répartissent ainsi :
MySQL Cluster est concerné par CVE-2026-60592, CVE-2026-70724 et CVE-2025-13151. MySQL AI est concerné par CVE-2026-65914. Enfin, MySQL Shell est concerné par CVE-2026-0968.
Les autres correctifs du lot touchent notamment MySQL Connectors / Connector ODBC et nécessitent des conditions d’exploitation différentes.
Cette séparation est essentielle pour éviter un titre trompeur : MySQL AI n’a pas cinq vulnérabilités distantes sans authentification dans cette publication. Oracle en identifie une.
Pour les lecteurs souhaitant mieux distinguer MySQL, les SGBD et les différentes couches d’une infrastructure de données, notre dossier qu’est-ce qu’une base de données et comment fonctionne SQL ? apporte le contexte nécessaire.
À quoi sert MySQL AI et pourquoi cette vulnérabilité est-elle sensible ?
MySQL AI est une extension orientée intelligence artificielle de l’écosystème MySQL. Oracle y intègre notamment des fonctions de machine learning, des capacités GenAI, des LLM exécutés au niveau de la base, un vector store, des embeddings, du RAG et des fonctions de NL2SQL permettant de convertir des requêtes en langage naturel en requêtes SQL.
Le produit est donc particulièrement intéressant pour les entreprises qui souhaitent rapprocher leurs traitements IA des données déjà stockées dans MySQL plutôt que de multiplier les transferts vers des services externes.
C’est aussi ce qui rend la sécurité importante.
Une console associée à un environnement contenant des bases métier, des systèmes RAG, des documents internes ou des modèles d’entreprise ne doit pas être considérée comme une simple interface web secondaire.
Le niveau de risque réel dépendra cependant du déploiement : exposition réseau, segmentation, règles de pare-feu, présence d’un reverse proxy, utilisateurs autorisés, données stockées et possibilité d’atteindre l’interface vulnérable.
Que révèle le score CVSS 7,2 de la vulnérabilité MySQL AI ?
Le score CVSS 3.1 de 7,2 ne doit pas être interprété isolément.
Oracle indique que l’attaque peut partir du réseau, avec une faible complexité et sans compte utilisateur. En revanche, la matrice attribue un impact Low sur la confidentialité, Low sur l’intégrité et None sur la disponibilité, avec un changement de scope.
Cela explique pourquoi une faille accessible sans authentification peut afficher un score de 7,2 plutôt qu’un score proche de 10.
Pour un administrateur, le CVSS n’est donc qu’un point de départ.
Une instance complètement isolée d’Internet, accessible uniquement depuis un réseau administratif restreint, n’a pas la même exposition opérationnelle qu’une interface HTTP accessible publiquement.
À l’inverse, une installation manipulant des données sensibles et exposant directement une console vulnérable doit être priorisée rapidement, même si le score CVSS n’atteint pas 9 ou 10.
Le patch MySQL AI corrige-t-il d’autres vulnérabilités DOMPurify ?
Oracle indique que le patch associé à CVE-2026-65914 corrige également 15 autres CVE. La matrice cite notamment CVE-2026-0540, CVE-2026-41238, CVE-2026-41239, CVE-2026-41240 ainsi qu’une série de CVE allant jusqu’à CVE-2026-65913.
Il serait toutefois excessif d’affirmer, sans documentation complémentaire d’Oracle, que chaque vulnérabilité supplémentaire possède exactement le même scénario d’exploitation que CVE-2026-65914.
La bonne lecture est plus simple : Oracle a regroupé plusieurs corrections de composants tiers dans le même patch, ce qui renforce l’intérêt de déployer le correctif complet plutôt que de tenter de traiter uniquement la CVE principale.
MySQL AI est-il dangereux pour les sites WordPress et les installations MySQL classiques ?
Pas automatiquement.
La matrice Oracle identifie CVE-2026-65914 sous le produit MySQL AI, et non sous un MySQL Server générique. Une installation classique utilisant uniquement MySQL comme base d’un site WordPress, d’une application PHP ou d’un CMS ne doit donc pas être déclarée affectée par cette CVE sur la seule base de cet avis.
Il faut vérifier le produit réellement installé.
Cette distinction est particulièrement importante pour éviter de créer inutilement de l’inquiétude chez les hébergeurs, administrateurs WordPress ou propriétaires de VPS utilisant MySQL sans le module MySQL AI.
Elle rappelle néanmoins une règle de base : une base de données ou son interface d’administration ne devrait pas être exposée directement sur Internet sans nécessité.
Le guide CritiquePlus pour configurer un serveur Linux recommande déjà de limiter l’accès réseau des bases de données et de n’ouvrir que les services réellement nécessaires.
Que doivent faire immédiatement les administrateurs MySQL AI ?
La première action consiste à identifier précisément les versions de MySQL AI en production. Si elles se situent entre 9.4.0 et 9.7.2, ou utilisent 26.7.0, elles apparaissent dans la liste Oracle des versions supportées affectées par CVE-2026-65914.
La deuxième priorité est d’appliquer le correctif Oracle correspondant. L’éditeur recommande explicitement l’installation rapide des patches du CSPU et rappelle que des attaquants ont déjà réussi par le passé à exploiter des vulnérabilités Oracle pour lesquelles des correctifs existaient mais n’avaient pas été installés.
La troisième consiste à auditer l’exposition HTTP des composants MySQL AI. Oracle précise lui-même que le blocage des protocoles nécessaires à une attaque peut réduire le risque tant que les correctifs ne sont pas appliqués.
Cela signifie concrètement qu’une entreprise doit vérifier ses règles de pare-feu, ACL, segmentation réseau et accès administratifs plutôt que de considérer la présence d’un mot de passe MySQL comme une protection suffisante contre une faille officiellement classée sans authentification.
Notre guide sur la sécurité VPS en 2026 revient notamment sur l’isolation et la segmentation réseau lorsqu’un serveur héberge des services sensibles.
Pourquoi le CSPU Oracle d’août 2026 dépasse-t-il largement MySQL AI ?
Le dossier est beaucoup plus vaste que cette seule CVE.
Oracle annonce 943 nouveaux patches de sécurité à travers l’ensemble des familles couvertes par son CSPU d’août 2026.
Pour Oracle Database Products, la partie Database Server comprend 6 nouveaux patches, dont 4 pour des vulnérabilités potentiellement exploitables à distance sans authentification.
Oracle Fusion Middleware concentre pour sa part 262 nouveaux patches, dont 182 correspondant à des vulnérabilités susceptibles d’être exploitées à distance sans authentification.
Pour un groupe utilisant plusieurs produits Oracle, le travail ne peut donc pas se limiter à MySQL AI. Il faut traiter le CSPU comme une véritable campagne de patch management.
L’angle MySQL AI reste néanmoins particulièrement pertinent pour CritiquePlus, car il montre que l’intégration de capacités d’intelligence artificielle dans les infrastructures de données ajoute aussi de nouvelles interfaces, dépendances logicielles et surfaces d’attaque.
Que ne dit pas clairement Oracle sur CVE-2026-65914 ?
Oracle fournit une matrice suffisamment détaillée pour identifier le produit, le composant, les versions et les conditions générales d’exploitation. Mais plusieurs questions restent ouvertes.
L’entreprise ne décrit pas publiquement dans cet avis le chemin technique complet de l’exploitation. Elle ne précise pas non plus quelle configuration exacte rend AI: Console accessible à un attaquant distant.
La matrice ne permet donc pas de déterminer combien d’instances MySQL AI sont réellement exposées directement sur Internet.
Elle ne permet pas non plus de conclure qu’une exploitation active de CVE-2026-65914 a été observée.
C’est la limite essentielle de l’annonce : nous savons désormais quelle CVE touche MySQL AI et dans quelles versions, mais pas encore quelle proportion des déploiements réels présente une surface directement atteignable.
Pour CritiquePlus, le prochain travail d’enquête doit donc porter sur l’exposition concrète de la MySQL AI Console, les ports et interfaces impliqués, ainsi que les contrôles compensatoires utilisables lorsque le patch ne peut pas être installé immédiatement.
Quel est l’avis CritiquePlus sur la faille MySQL AI CVE-2026-65914 ?
CritiquePlus considère cette publication comme une correction éditoriale importante et une alerte sérieuse pour les administrateurs MySQL AI, sans raison de dramatiser l’ensemble de l’écosystème MySQL.
La matrice finale d’Oracle apporte enfin la granularité qui manquait : MySQL AI n’est pas concerné par les cinq failles MySQL sans authentification. Il est concerné par une vulnérabilité clairement identifiée, CVE-2026-65914.
Cette vulnérabilité mérite néanmoins une priorité élevée parce qu’elle combine plusieurs caractéristiques défavorables : attaque réseau, HTTP, faible complexité, aucun privilège et aucune interaction utilisateur.
La bonne réponse n’est ni de paniquer ni d’attendre.
Les entreprises utilisant MySQL AI 9.4.0 à 9.7.2 ou 26.7.0 doivent vérifier leur exposition, appliquer le correctif Oracle et réduire immédiatement les accès HTTP inutiles.
Les autres utilisateurs de MySQL doivent de leur côté consulter les CVE correspondant réellement à leurs produits — MySQL Cluster, MySQL Shell ou Connectors — au lieu de supposer qu’une vulnérabilité MySQL AI touche automatiquement leur installation.
Que faut-il retenir sur MySQL AI et CVE-2026-65914 ?
Oracle a publié son CSPU final d’août 2026 le 18 août, avec 943 nouveaux patches.
La famille Oracle MySQL reçoit 9 nouveaux patches, dont 5 pour des vulnérabilités pouvant être exploitées à distance sans authentification.
Une seule de ces cinq vulnérabilités touche MySQL AI : CVE-2026-65914.
Elle concerne AI: Console (DOMPurify), utilise HTTP, ne nécessite ni authentification ni interaction utilisateur et obtient un score CVSS 3.1 de 7,2.
Les versions affectées sont MySQL AI 9.4.0 à 9.7.2 et 26.7.0.
La priorité pour les entreprises est maintenant simple : inventorier, patcher et réduire l’exposition réseau, sans attendre qu’une vulnérabilité potentiellement exploitable devienne un incident réel.
Quelles sources officielles ont été utilisées ?
- Oracle Security Alerts — Critical Security Patch Update Advisory, August 2026, publication initiale du 18 août 2026.
- Oracle MySQL Risk Matrix, pour les neuf patches MySQL et les caractéristiques de CVE-2026-65914.
- MySQL AI — AutoML and GenAI, page produit officielle Oracle/MySQL.
- MySQL AI User Guide — Supported Platforms and Requirements, pour les avertissements relatifs aux accès distants via MySQL Shell GUI et MySQL REST.
- MySQL AI Release Notes 26.7.0, pour le contexte de la version publiée le 28 juillet 2026.
