Oracle CPU di ottobre 2026: 1.295 patch e cinque CVE prioritarie

Il 20 ottobre 2026 Oracle ha pubblicato il Critical Patch Update (CPU) di ottobre, l’aggiornamento trimestrale che raccoglie le correzioni di sicurezza di quasi tutto il suo catalogo: 1.295 nuove patch per decine di famiglie di prodotti, da Database Server a Fusion Middleware, da E-Business Suite a Java SE e MySQL. Ne hanno dato notizia heise Security, SecurityWeek, l’INCIBE-CERT spagnolo e il Canadian Centre for Cyber Security (avviso AV26-1071).

Al momento nessuna vulnerabilità risulta sfruttata: Oracle non ne ha segnalata nessuna come sfruttata in attacchi reali e la tabella di INCIBE-CERT indica «no» per tutte le CVE prioritarie. Diverse, però, sono critiche, raggiungibili dalla rete e senza credenziali.

I numeri dell’aggiornamento

Il numero delle patch non coincide con quello delle vulnerabilità, perché la stessa CVE può essere corretta in più prodotti. Secondo l’analisi di Tenable riportata da SecurityWeek, le 1.295 patch correggono 1.209 CVE uniche: 95 critiche, 439 di gravità alta e 582 di gravità media.

La distribuzione per famiglia di prodotti, sempre secondo SecurityWeek:

• Fusion Middleware: 206 patch, di cui 134 sfruttabili da remoto senza autenticazione;
• E-Business Suite: 194;
• Siebel CRM: 122;
• Communications: 110;
• PeopleSoft: 109;
• JD Edwards: 102;
• MySQL: 98;
• Java SE: 55;
• Supply Chain: 50.

Hanno ricevuto patch anche Essbase, REST Data Services, Database Server, Enterprise Manager, GoldenGate, Secure Backup, TimesTen, APEX, NoSQL Database, SQL Developer e le applicazioni per finanza, retail, sanità e hospitality. L’elenco completo dei prodotti colpiti è nell’avviso del Canadian Centre: comprende anche WebLogic Server, Oracle HTTP Server, Identity Manager, Managed File Transfer, GraalVM, Solaris, VirtualBox, ZFS Storage Appliance Kit e diverse funzioni di rete della linea Communications Cloud Native Core.

Le vulnerabilità prioritarie

INCIBE-CERT classifica l’aggiornamento con importanza 5 – critica ed evidenzia cinque CVE:

• CVE-2026-101809 (CVSS 3.1: 10.0), nel Workflow Notification Mailer di Oracle E-Business Suite, versioni da 12.2.3 a 12.2.15: sfruttabile via HTTP senza autenticazione.
• CVE-2026-91216 e CVE-2026-91221 (CVSS 3.1: 10.0), in Oracle SOA Suite 12.2.1.4.0 e 14.1.2.0.0: un attaccante non autenticato con accesso di rete tramite i protocolli T3 o IIOP può compromettere il prodotto.
• CVE-2026-87337 (CVSS 3.1: 10.0), in Oracle Access Manager 12.2.1.4.0 e 14.1.2.1.0: sfruttabile da remoto via HTTP senza autenticazione.
• CVE-2026-75803 (CVSS 3.1: 9.8), nel componente OpenSSL di Oracle Database Server, versioni da 19.3 a 19.32 e da 23.4.0 a 23.26.3: sfruttabile da remoto senza autenticazione tramite TLS.

Nel CVSS 3.1 un punteggio di 10.0 corrisponde a un attacco dalla rete, di bassa complessità, senza privilegi né interazione dell’utente, con impatto massimo su riservatezza, integrità e disponibilità che va oltre il componente vulnerabile. Il dettaglio di prodotti, versioni e patch applicabili è nella matrice dei rischi di Oracle, che INCIBE-CERT invita a consultare.

MITRE ATT&CK (classificazione nostra): T1190 (Exploit Public-Facing Application) per le falle sfruttabili via HTTP, T3 o IIOP senza autenticazione.

Java e il caso eMudhra

Il 21 ottobre, il giorno dopo il CPU, Oracle ha pubblicato un avviso separato e un Security Alert per CVE-2026-91403: secondo SecurityWeek è la risposta di Java (e di Oracle) all’incidente delle chiavi private deboli dell’autorità di certificazione eMudhra. Chi aggiorna Java SE con il CPU deve quindi applicare anche questo aggiornamento successivo.

Impatto per le aziende europee e italiane

Database, middleware e gestionali Oracle reggono processi centrali in molte aziende: amministrazione, logistica, produzione, banche e assicurazioni. Un aggiornamento di queste dimensioni richiede una pianificazione per priorità.

• Per i soggetti NIS2 la gestione delle vulnerabilità è una delle misure di sicurezza richieste dall’articolo 21: tempi e criteri di applicazione del CPU vanno decisi e documentati.
• In sanità, l’avviso canadese elenca Healthcare Master Person Index, Healthcare Data Repository e Health Sciences Information Manager.
• Gli operatori di telecomunicazioni trovano nell’elenco diverse funzioni del core di rete Cloud Native Core, tra cui Network Repository Function, Network Slice Selection Function, Security Edge Protection Proxy e Unified Data Repository.

Oracle ricorda di ricevere periodicamente segnalazioni di tentativi di sfruttamento contro i suoi prodotti. Il precedente è recente: a settembre il gruppo ShinyHunters ha sottratto dati sul personale dell’FBI passando da un sistema PeopleSoft non aggiornato, come ha raccontato ARX News.

Cosa fare subito

1. Fai l’inventario dei prodotti Oracle e delle versioni installate, compresi i componenti meno visibili: WebLogic Server sotto applicazioni di terzi, MySQL, Java SE e GraalVM su server e postazioni, VirtualBox sui computer degli sviluppatori. Confronta l’elenco con la matrice dei rischi del CPU.
2. Parti dai sistemi raggiungibili dalla rete nelle versioni indicate: E-Business Suite, Access Manager, SOA Suite e Database Server.
3. Limita T3 e IIOP: finché SOA Suite non è aggiornato, verifica che questi protocolli non siano raggiungibili da Internet né da reti non fidate.
4. Aggiorna Java SE con il CPU e applica anche l’avviso per CVE-2026-91403.
5. Resta su versioni con supporto attivo, come raccomanda INCIBE-CERT: le patch si trovano nella matrice di disponibilità di Oracle, con le istruzioni di installazione di ogni prodotto.
6. Sorveglia i log di E-Business Suite, Access Manager e dei server WebLogic: richieste anomale da indirizzi esterni e traffico T3 o IIOP inatteso.
7. Segna le prossime date: Critical Security Patch Update (CSPU) il 17 novembre e il 15 dicembre (il terzo martedì di ogni mese), prossimo CPU il 19 gennaio 2027.

Come aiuta ARXDOME

ARX Shield mostra, per ogni macchina monitorata, le vulnerabilità aperte per pacchetto, con quelle già sfruttate in evidenza e le macchine scollegate con vulnerabilità critiche: aiuta a vedere dove manca ancora l’aggiornamento. ARX Expose e ARX Scout indicano quali servizi della tua azienda sono esposti su Internet e quali porte sono davvero aperte, per decidere da dove cominciare.

Ultimo aggiornamento: 22 ottobre 2026