Oracle CPU octombrie 2026: 1.295 de patch-uri și 5 CVE prioritare

Pe 20 octombrie 2026, Oracle a publicat Critical Patch Update (CPU) din octombrie, actualizarea trimestrială care reunește corecțiile de securitate pentru aproape întregul său catalog: 1.295 de patch-uri noi pentru zeci de familii de produse, de la Database Server la Fusion Middleware, de la E-Business Suite la Java SE și MySQL. Vestea a fost dată de heise Security, SecurityWeek, INCIBE-CERT din Spania și Canadian Centre for Cyber Security (avizul AV26-1071).

Deocamdată nicio vulnerabilitate nu este cunoscută ca fiind exploatată: Oracle nu a semnalat niciuna ca exploatată în atacuri reale, iar tabelul INCIBE-CERT indică „nu” pentru toate CVE-urile prioritare. Mai multe sunt însă critice, accesibile prin rețea și fără credențiale.

Actualizarea în cifre

Numărul de patch-uri nu coincide cu cel al vulnerabilităților, deoarece același CVE poate fi corectat în mai multe produse. Potrivit analizei Tenable preluate de SecurityWeek, cele 1.295 de patch-uri corectează 1.209 CVE unice: 95 critice, 439 de gravitate ridicată și 582 de gravitate medie.

Distribuția pe familii de produse, tot potrivit SecurityWeek:

• Fusion Middleware: 206 patch-uri, dintre care 134 exploatabile de la distanță fără autentificare;
• E-Business Suite: 194;
• Siebel CRM: 122;
• Communications: 110;
• PeopleSoft: 109;
• JD Edwards: 102;
• MySQL: 98;
• Java SE: 55;
• Supply Chain: 50.

Au primit patch-uri și Essbase, REST Data Services, Database Server, Enterprise Manager, GoldenGate, Secure Backup, TimesTen, APEX, NoSQL Database, SQL Developer și aplicațiile pentru servicii financiare, retail, sănătate și ospitalitate. Lista completă a produselor afectate se află în avizul Canadian Centre: include și WebLogic Server, Oracle HTTP Server, Identity Manager, Managed File Transfer, GraalVM, Solaris, VirtualBox, ZFS Storage Appliance Kit și mai multe funcții de rețea din linia Communications Cloud Native Core.

Vulnerabilitățile prioritare

INCIBE-CERT clasifică actualizarea cu importanța 5 – critică și evidențiază cinci CVE:

• CVE-2026-101809 (CVSS 3.1: 10.0), în Workflow Notification Mailer din Oracle E-Business Suite, versiunile 12.2.3–12.2.15: exploatabilă prin HTTP fără autentificare.
• CVE-2026-91216 și CVE-2026-91221 (CVSS 3.1: 10.0), în Oracle SOA Suite 12.2.1.4.0 și 14.1.2.0.0: un atacator neautentificat cu acces la rețea prin protocoalele T3 sau IIOP poate compromite produsul.
• CVE-2026-87337 (CVSS 3.1: 10.0), în Oracle Access Manager 12.2.1.4.0 și 14.1.2.1.0: exploatabilă de la distanță prin HTTP fără autentificare.
• CVE-2026-75803 (CVSS 3.1: 9.8), în componenta OpenSSL din Oracle Database Server, versiunile 19.3–19.32 și 23.4.0–23.26.3: exploatabilă de la distanță fără autentificare prin TLS.

În CVSS 3.1, un scor de 10.0 corespunde unui atac prin rețea, de complexitate redusă, fără privilegii și fără interacțiunea utilizatorului, cu impact maxim asupra confidențialității, integrității și disponibilității, care depășește componenta vulnerabilă. Detaliile despre produse, versiuni și patch-urile aplicabile se găsesc în matricea de riscuri Oracle, pe care INCIBE-CERT recomandă să o consulți.

MITRE ATT&CK (clasificarea noastră): T1190 (Exploit Public-Facing Application) pentru vulnerabilitățile exploatabile prin HTTP, T3 sau IIOP fără autentificare.

Java și cazul eMudhra

Pe 21 octombrie, a doua zi după CPU, Oracle a publicat un aviz separat și un Security Alert pentru CVE-2026-91403: potrivit SecurityWeek, este răspunsul Java (și al Oracle) la incidentul cheilor private slabe ale autorității de certificare eMudhra. Dacă actualizezi Java SE cu CPU, aplică și această actualizare ulterioară.

Impactul pentru companiile europene și italiene

Bazele de date, middleware-ul și aplicațiile de gestiune Oracle susțin procese centrale în multe companii: administrație, logistică, producție, bănci și asigurări. O actualizare de această amploare trebuie planificată pe priorități.

• Pentru entitățile NIS2, gestionarea vulnerabilităților este una dintre măsurile de securitate cerute de articolul 21: termenele și criteriile de aplicare a CPU trebuie stabilite și documentate.
• În sănătate, avizul canadian enumeră Healthcare Master Person Index, Healthcare Data Repository și Health Sciences Information Manager.
• Operatorii de telecomunicații găsesc în listă mai multe funcții de rețea Cloud Native Core, printre care Network Repository Function, Network Slice Selection Function, Security Edge Protection Proxy și Unified Data Repository.

Oracle amintește că primește periodic rapoarte despre tentative de exploatare îndreptate împotriva produselor sale. Precedentul este recent: în septembrie, grupul ShinyHunters a sustras date despre personalul FBI printr-un sistem PeopleSoft neactualizat, așa cum a relatat ARX News.

Ce să faci acum

1. Fă inventarul produselor Oracle și al versiunilor instalate, inclusiv al componentelor mai puțin vizibile: WebLogic Server sub aplicații terțe, MySQL, Java SE și GraalVM pe servere și stații de lucru, VirtualBox pe calculatoarele dezvoltatorilor. Compară lista cu matricea de riscuri a CPU.
2. Începe cu sistemele accesibile prin rețea în versiunile indicate: E-Business Suite, Access Manager, SOA Suite și Database Server.
3. Restricționează T3 și IIOP: până la actualizarea SOA Suite, verifică dacă aceste protocoale nu sunt accesibile din Internet sau din rețele nesigure.
4. Actualizează Java SE cu CPU și aplică și avizul pentru CVE-2026-91403.
5. Rămâi pe versiuni cu suport activ, cum recomandă INCIBE-CERT: patch-urile se găsesc în matricea de disponibilitate Oracle, cu instrucțiunile de instalare pentru fiecare produs.
6. Monitorizează jurnalele E-Business Suite, Access Manager și ale serverelor WebLogic: cereri anormale de la adrese externe și trafic T3 sau IIOP neașteptat.
7. Notează datele următoare: Critical Security Patch Update (CSPU) pe 17 noiembrie și 15 decembrie (a treia zi de marți a fiecărei luni), următorul CPU pe 19 ianuarie 2027.

Cum ajută ARXDOME

ARX Shield arată, pentru fiecare mașină monitorizată, vulnerabilitățile deschise pe pachet, cu cele deja exploatate evidențiate și mașinile deconectate cu vulnerabilități critice: te ajută să vezi unde lipsește încă actualizarea. ARX Expose și ARX Scout arată ce servicii ale companiei tale sunt expuse în Internet și ce porturi sunt cu adevărat deschise, ca să decizi de unde să începi.

Ultima actualizare: 22 octombrie 2026