Oracle 2026. szeptemberi kritikus biztonsági közleménye: 330 javítás, hitelesítés nélküli Fusion Middleware hibák

A kiadás röviden

Az Oracle 2026. szeptemberi kritikus biztonsági javítási közleménye az Oracle termékeit érintő 330 CVE-t sorol fel. A súlyosság szerinti megoszlás: 69 kritikus, 234 magas, 24 közepes és 3 alacsony súlyosságú. A CVE-k közül 159 az Oracle E-Business Suite-hoz, 152 az Oracle Fusion Middleware-hez, 11 az Oracle Database Serverhez, 6 az Oracle Java SE-hez, 1 az Oracle Enterprise Managerhez és 1 az Oracle Analyticshez tartozik. A kiadás egyik CVE-jének sincs ismert aktív kihasználása, és egyik sem szerepel a CISA KEV listáján.

A legmagasabb pontszámú hibák közé tartozik az Oracle Access Manager, az Oracle Platform Security for Java, az Oracle WebLogic Server, az Oracle Internet Directory és az Oracle Forms; ezek mindegyike 10,0 CVSS 3.1 pontszámmal rendelkezik, és hálózaton keresztül, hitelesítés nélkül elérhető. Az Oracle Access Manager, a WebCenter Portal, a WebCenter Sites és a Service Delivery Platform további elemei 9,9 pontot kaptak, és csak alacsony jogosultságot igényelnek.

A legfontosabbak

A legsúlyosabb tételek az Oracle Access Manager termékben találhatók. A CVE-2026-71133 hitelesítés nélküli HTTP-sérülékenység az Authentication Engine komponensben; az Oracle 10,0 pontot adott rá, hatókör-változással és a termék átvételének lehetőségével. A CVE-2026-73945 szintén az Authentication Engine komponenst érintő, alacsony jogosultságot igénylő hiba, 9,9 pontszámmal, amely szintén a termék átvételét teszi lehetővé. Az Oracle Platform Security for Java CVE-2026-83020 jelű hibája a Centralized Thirdparty Jars összetevőben található, hitelesítés nélküli HTTP-sérülékenység, 10,0 pontszámmal. Az Oracle WebLogic Server CVE-2026-83021 hibája a Web Container összetevőt érinti, HTTP-n keresztül hitelesítés nélkül elérhető, 10,0 pontszámú, és lehetővé teszi a termék átvételét. Az Oracle Internet Directory CVE-2026-83059 hibája az OID LDAP Server összetevőben található, hitelesítés nélküli LDAP-sérülékenység, szintén 10,0 pontszámmal. Az Oracle Forms CVE-2026-83099 hibája a Forms Services, C/S, Charmode összetevőt érintő, hitelesítés nélküli HTTP-sérülékenység, szintén 10,0 pontszámmal. Az Oracle WebCenter Portal CVE-2026-73948 hibája a Composer összetevőt érintő, alacsony jogosultságot igénylő HTTP-sérülékenység, 9,9 pontszámmal. A Service Delivery Platform CVE-2026-82997 hibája a Messaging Enabler összetevőt érintő, alacsony jogosultságot igénylő T3/IIOP-sérülékenység, 9,9 pontszámmal. Ezek a hibák elsősorban azért fontosak, mert egyszerre jellemző rájuk a hálózati elérés, az alacsony vagy hiányzó jogosultsági követelmény, és az Oracle „könnyen kihasználható” minősítése.

Javítási sorrend

1. Először a hálózat felől hitelesítés nélkül elérhető Fusion Middleware összetevőkhöz telepítse a javításokat: Oracle Access Manager CVE-2026-71133, Oracle Platform Security for Java CVE-2026-83020, Oracle WebLogic Server CVE-2026-83021, Oracle Internet Directory CVE-2026-83059 és Oracle Forms CVE-2026-83099. Ezek 10,0 pontszámúak, nem igényelnek hitelesítő adatokat, és az Oracle könnyen kihasználhatónak minősíti őket.
2. Ezt követően az alacsony jogosultságot igénylő Fusion Middleware tételekhez telepítse a javításokat: Oracle Access Manager CVE-2026-71163 és CVE-2026-73945, Oracle WebCenter Portal CVE-2026-73948, Service Delivery Platform CVE-2026-82997, CVE-2026-82998 és CVE-2026-82999, valamint Oracle WebCenter Sites CVE-2026-83031. Ezek 9,9 pontszámúak, és csak alacsony jogosultságot igényelnek.
3. Folytassa az Oracle Fusion Middleware és az Oracle E-Business Suite fennmaradó frissítéseivel, előnyben részesítve az internet felől elérhető E-Business Suite modulokat és azokat a Fusion Middleware összetevőket, amelyek nem megbízható hálózatokról elérhetők.
4. Térjen át az Oracle Database Server, az Oracle Java SE, az Oracle Enterprise Manager és az Oracle Analytics javításaira a szokásos javítási ciklusnak megfelelően.

Mivel ebben a kiadásban egyetlen CVE sem szerepel a CISA KEV listáján, nincs CISA-határidő, amelyhez igazodni kellene; a prioritást a kitettség és az Oracle besorolása határozza meg.

A javításon túl

Ezt a kiadást a hálózatról elérhető, alacsony vagy semmilyen jogosultságot nem igénylő Fusion Middleware hibák jellemzik, ami erős érv a folyamatos kitettségkezelés mellett a negyedéves kapkodással szemben. A Virtuális CISO szolgáltatás segíthet abban, hogy az internet felől elérhető Oracle-szolgáltatások láthatók és rangsoroltak legyenek, a Bevezetési és felmérési szolgáltatások pedig tesztelhetik a hitelesítési és hozzáférés-szabályozási határokat az Access Managerben, a WebLogic Serverben és a kapcsolódó összetevőkben, még a következő Oracle Critical Patch Update (CPU) megjelenése előtt.