Oracle CPU octubre 2026: 1.295 parches y cinco CVE prioritarios

El 20 de octubre de 2026 Oracle publicó el Critical Patch Update (CPU) de octubre, la actualización trimestral que reúne las correcciones de seguridad de casi todo su catálogo: 1.295 nuevos parches para decenas de familias de productos, desde Database Server hasta Fusion Middleware, desde E-Business Suite hasta Java SE y MySQL. Lo han informado heise Security, SecurityWeek, INCIBE-CERT y el Canadian Centre for Cyber Security (aviso AV26-1071).

Por ahora no consta que se esté explotando ninguna vulnerabilidad: Oracle no ha señalado ninguna como explotada en ataques reales y la tabla de INCIBE-CERT indica «no» para todos los CVE prioritarios. Sin embargo, varias son críticas, accesibles por red y sin credenciales.

Las cifras de la actualización

El número de parches no coincide con el de vulnerabilidades, porque un mismo CVE puede corregirse en varios productos. Según el análisis de Tenable que recoge SecurityWeek, los 1.295 parches corrigen 1.209 CVE únicos: 95 críticos, 439 de gravedad alta y 582 de gravedad media.

El reparto por familia de productos, también según SecurityWeek:

• Fusion Middleware: 206 parches, de los cuales 134 explotables en remoto sin autenticación;
• E-Business Suite: 194;
• Siebel CRM: 122;
• Communications: 110;
• PeopleSoft: 109;
• JD Edwards: 102;
• MySQL: 98;
• Java SE: 55;
• Supply Chain: 50.

También han recibido parches Essbase, REST Data Services, Database Server, Enterprise Manager, GoldenGate, Secure Backup, TimesTen, APEX, NoSQL Database, SQL Developer y las aplicaciones para finanzas, retail, sanidad y hostelería. La lista completa de productos afectados está en el aviso del Canadian Centre: incluye además WebLogic Server, Oracle HTTP Server, Identity Manager, Managed File Transfer, GraalVM, Solaris, VirtualBox, ZFS Storage Appliance Kit y varias funciones de red de la línea Communications Cloud Native Core.

Las vulnerabilidades prioritarias

INCIBE-CERT clasifica la actualización con importancia 5 – crítica y destaca cinco CVE:

• CVE-2026-101809 (CVSS 3.1: 10.0), en el Workflow Notification Mailer de Oracle E-Business Suite, versiones de la 12.2.3 a la 12.2.15: explotable por HTTP sin autenticación.
• CVE-2026-91216 y CVE-2026-91221 (CVSS 3.1: 10.0), en Oracle SOA Suite 12.2.1.4.0 y 14.1.2.0.0: un atacante sin autenticar con acceso de red mediante los protocolos T3 o IIOP puede comprometer el producto.
• CVE-2026-87337 (CVSS 3.1: 10.0), en Oracle Access Manager 12.2.1.4.0 y 14.1.2.1.0: explotable en remoto por HTTP sin autenticación.
• CVE-2026-75803 (CVSS 3.1: 9.8), en el componente OpenSSL de Oracle Database Server, versiones de la 19.3 a la 19.32 y de la 23.4.0 a la 23.26.3: explotable en remoto sin autenticación mediante TLS.

En CVSS 3.1 una puntuación de 10.0 corresponde a un ataque por red, de baja complejidad, sin privilegios ni interacción del usuario, con impacto máximo en confidencialidad, integridad y disponibilidad que va más allá del componente vulnerable. El detalle de productos, versiones y parches aplicables está en la matriz de riesgos de Oracle, que INCIBE-CERT recomienda consultar.

MITRE ATT&CK (clasificación nuestra): T1190 (Exploit Public-Facing Application) para los fallos explotables por HTTP, T3 o IIOP sin autenticación.

Java y el caso eMudhra

El 21 de octubre, el día después del CPU, Oracle publicó un aviso aparte y una Security Alert para CVE-2026-91403: según SecurityWeek, es la respuesta de Java (y de Oracle) al incidente de las claves privadas débiles de la autoridad de certificación eMudhra. Si actualizas Java SE con el CPU, aplica también esta actualización posterior.

Impacto para las empresas europeas e italianas

Las bases de datos, el middleware y las aplicaciones de gestión de Oracle sostienen procesos centrales en muchas empresas: administración, logística, producción, banca y seguros. Una actualización de este tamaño exige una planificación por prioridades.

• Para las entidades sujetas a NIS2, la gestión de vulnerabilidades es una de las medidas de seguridad exigidas por el artículo 21: los plazos y criterios para aplicar el CPU deben decidirse y documentarse.
• En sanidad, el aviso canadiense incluye Healthcare Master Person Index, Healthcare Data Repository y Health Sciences Information Manager.
• Los operadores de telecomunicaciones encuentran en la lista varias funciones de red de Cloud Native Core, entre ellas Network Repository Function, Network Slice Selection Function, Security Edge Protection Proxy y Unified Data Repository.

Oracle recuerda que recibe periódicamente informes de intentos de explotación contra sus productos. El precedente es reciente: en septiembre el grupo ShinyHunters sustrajo datos sobre el personal del FBI a través de un sistema PeopleSoft sin actualizar, como contó ARX News.

Qué hacer ya

1. Haz el inventario de los productos Oracle y de las versiones instaladas, incluidos los componentes menos visibles: WebLogic Server bajo aplicaciones de terceros, MySQL, Java SE y GraalVM en servidores y puestos de trabajo, VirtualBox en los ordenadores de los desarrolladores. Compara la lista con la matriz de riesgos del CPU.
2. Empieza por los sistemas accesibles por red en las versiones indicadas: E-Business Suite, Access Manager, SOA Suite y Database Server.
3. Limita T3 e IIOP: hasta que SOA Suite esté actualizado, comprueba que estos protocolos no sean accesibles desde Internet ni desde redes no fiables.
4. Actualiza Java SE con el CPU y aplica también el aviso para CVE-2026-91403.
5. Mantente en versiones con soporte activo, como recomienda INCIBE-CERT: los parches están en la matriz de disponibilidad de Oracle, con las instrucciones de instalación de cada producto.
6. Vigila los registros de E-Business Suite, Access Manager y los servidores WebLogic: peticiones anómalas desde direcciones externas y tráfico T3 o IIOP inesperado.
7. Apunta las próximas fechas: Critical Security Patch Update (CSPU) el 17 de noviembre y el 15 de diciembre (el tercer martes de cada mes), próximo CPU el 19 de enero de 2027.

Cómo ayuda ARXDOME

ARX Shield muestra, para cada máquina monitorizada, las vulnerabilidades abiertas por paquete, con las ya explotadas destacadas y las máquinas desconectadas con vulnerabilidades críticas: te ayuda a ver dónde falta todavía la actualización. ARX Expose y ARX Scout indican qué servicios de tu empresa están expuestos en Internet y qué puertos están realmente abiertos, para que decidas por dónde empezar.

Última actualización: 22 de octubre de 2026