Oracle 2026. októberi Critical Patch Update: 426 javítás, az élen hálózatról elérhető, teljes átvételt lehetővé tevő hibákkal

A kiadás röviden

Az Oracle 2026. októberi Critical Patch Update 426 CVE-t fed le. A közlemény szerint a megoszlás 38 kritikus, 200 magas, 161 közepes és 27 alacsony súlyosságú hiba. A legnagyobb részesedést az Oracle E-Business Suite kapta 194 CVE-vel; ezt követi az Oracle Fusion Middleware 170, az Oracle Java SE 52, az Oracle Database Server 9, az Oracle PeopleSoft pedig 1 CVE-vel. E CVE-k egyike sem szerepel a CISA KEV-katalógusában, és a közlemény adatai szerint egyiket sem jelölték kihasználtként. A legsürgetőbb tételek az Oracle Fusion Middleware-ben és az Oracle E-Business Suite-ban lévő, hitelesítést nem igénylő, hálózatról elérhető hibák csoportja; közülük több CVSS-pontszáma 10,0.

A legfontosabbak

Az Oracle E-Business Suite-ban a CVE-2026-101809 a Workflow (Workflow Notification Mailer) 12.2.3 és 12.2.15 közötti verzióit érinti. A hiba HTTP-n keresztül, hitelesítés nélkül, könnyen kihasználható, és a Workflow átvételét eredményezheti; az Oracle 10,0-s CVSS-pontszámmal kritikusnak minősíti.

Az Oracle Fusion Middleware-ben a legnagyobb csoport az Oracle SOA Suite-ban található. A CVE-2026-91216 és a CVE-2026-91221 a Fabric Layer 12.2.1.4.0 és 14.1.2.0.0 verzióit érinti; mindkettő hitelesítés nélkül kihasználható T3-on vagy IIOP-n keresztül, és 10,0 pontot kapott. A CVE-2026-91231 a HTTP-n keresztül elérhető Adapters komponenst érinti, és ugyanilyen hitelesítés nélküli átvételt eredményez. Az Oracle SOA Suite további bejegyzései közül több alacsony jogosultsági szintet igényel, mégis kritikus 9,9 ponttal; ilyen a CVE-2026-91224, a CVE-2026-91232 és a CVE-2026-91250.

Az Oracle Access Managerben lévő CVE-2026-87337 a 12.2.1.4.0 és 14.1.2.1.0 verziókban hitelesítést nem igénylő HTTP-hiba; teljes hozzáférést és módosítási lehetőséget ad az OAM-adatokhoz. Az Oracle WebCenter Sites terméket érintő CVE-2026-101499 CWE-287 és CWE-306 hivatkozásokat tartalmaz, a 12.2.1.4.0 és 14.1.2.0.0 verziót érinti, 9,8 pontot kapott, és átvételt tehet lehetővé. Az Oracle Outside In Technology 8.5.8 kiadásában lévő CVE-2026-91354 alacsony jogosultsági szintet igénylő hálózati hiba, mégis kritikus, 9,9 ponttal. Az Oracle Business Process Management Suite CVE-2026-91222 hibája szintén alacsony jogosultsági szintet igényel, SOAP-on keresztül érhető el, és 9,9 pontot kapott.

Javítási sorrend

1. Elsőként telepítse a biztonsági javításokat az Oracle SOA Suite 12.2.1.4.0 és 14.1.2.0.0 verziójához. A CVE-2026-91216, a CVE-2026-91221 és a CVE-2026-91231 hitelesítést nem igénylő, hálózatról elérhető hiba, 10,0 pontra értékelt, és teljes átvételt tesz lehetővé.

1. Telepítse a biztonsági javításokat az Oracle E-Business Suite Workflow 12.2.3 és 12.2.15 közötti verzióihoz. A CVE-2026-101809 hitelesítés nélküli HTTP-támadási útvonalon keresztül teszi lehetővé a Workflow átvételét.

1. Frissítse az Oracle Access Manager 12.2.1.4.0 és 14.1.2.1.0 verzióját. A CVE-2026-87337 lehetővé teszi, hogy egy hitelesítést nem igénylő HTTP-támadó olvassa és módosítsa az OAM-adatokat.

1. Frissítse az Oracle WebCenter Sites 12.2.1.4.0 és 14.1.2.0.0 verzióját. A CVE-2026-101499 hitelesítést nem igénylő hiba, amely 9,8-as pontszámot kapott.

1. Ezt követően kezelje az alacsony jogosultsági szintet igénylő, mégis kritikus hibákat – az Oracle Business Process Management Suite CVE-2026-91222 és az Oracle Outside In Technology CVE-2026-91354 –, majd a hálózati kitettség alapján haladjon végig a fennmaradó Fusion Middleware, E-Business Suite, Java SE és Database Server CVE-kon.

A javításon túl

Egy ekkora kiadás könnyebben kezelhető, ha már most tudja, hogy az Oracle SOA Suite, az Access Manager, a Workflow és a WebCenter Sites a hálózat mely pontjairól érhető el. A Virtuális CISO szolgáltatás (vCISO) naprakészen tartja ezt a kitettségi képet, és rangsorolja azokat a hitelesítést nem igénylő szolgáltatásokat, amelyeket ez a Critical Patch Update érint, míg a Bevezetési és felmérési szolgáltatások a javítás előtt és után is ellenőrizni tudják a hibák által érintett hitelesítési útvonalakat és middleware-konfigurációkat. Az Ellátási lánc védelem és harmadik feles kockázatok követi az Oracle javítási ütemét azoknál a termékeknél, amelyekre támaszkodik, így a következő Critical Patch Update nem éri váratlanul.