Oracle Critical Patch Update octombrie 2026: 1.295 de corecturi, patru defecte CVSS 10,0 în SOA Suite, Access Manager și E-Business Suite. Ce corectezi primul

• The Hacker News relatează, citând firma de informații Defused Cyber, că actori au început să sondeze CVE-2026-101767 (CVSS 9,8) în Oracle E-Business Suite, corectat în CPU din octombrie. Pe 27 octombrie, momentele-capcană (honeypot) ale Defused au înregistrat „exploatări exploratorii”. Articolul nu spune că vreun atac a reușit și nu menționează cod de exploatare public.
• Potrivit aceleiași surse, defectul a fost raportat către Oracle pe 24 iulie de cercetători Horizon3.ai, permite unui atacator cu acces în rețea să ruleze SQL ca utilizatorul APPS al bazei de date și apoi comenzi de sistem ca și contul aplicației EBS. Articolul descrie defectul când ca „autentificare incorectă”, când ca injecție SQL neautentificată; clasificarea nu e consistentă în text. Este o singură sursă și observația unui singur furnizor.
• Măsuri indicate de sursă, pentru cine nu poate corecta imediat: scoaterea căii /OA_HTML/AppsTCFServer din lista permisă a firewall-ului de URL-uri, restrângerea accesului la nivelul web la rețele de încredere și monitorizarea gazdei aplicației și a bazei de date. Indicatorii includ cereri POST neautentificate către acea cale și activitate neașteptată de shell din Concurrent Manager. Corectura din CPU rămâne remedierea reală.

• INCIBE-CERT (21 octombrie, importanță critică): 1.295 de corecturi noi în produse Oracle, între care Database, E-Business Suite, Fusion Middleware, Java și MySQL. Cele cinci prioritare: CVE-2026-101809 în Workflow Notification Mailer din E-Business Suite (CVSS 10,0, prin HTTP, versiunile 12.2.3–12.2.15); CVE-2026-91216 și CVE-2026-91221 în Oracle SOA Suite (CVSS 10,0, prin T3 sau IIOP, versiunile 12.2.1.4.0 și 14.1.2.0.0); CVE-2026-87337 în Oracle Access Manager (CVSS 10,0, prin HTTP, versiunile 12.2.1.4.0 și 14.1.2.1.0); CVE-2026-75803 în componenta OpenSSL a Oracle Database Server (CVSS 9,8, prin TLS, versiunile 19.3–19.32 și 23.4.0–23.26.3). Toate pot fi exploatate fără autentificare, potrivit INCIBE-CERT.
• NCSC-NL (NCSC-2026-0448, prioritate ridicată): lista acoperă peste 100 de CVE-uri în produse Fusion Middleware precum SOA Suite, WebLogic Server, Data Integrator, Identity Manager, Access Manager, WebCenter Content și HTTP Server. Pe lângă cele de mai sus, avizul listează CVE-2026-91231 cu scor 10,0 și mai multe cu 9,8.
• Exploatarea: NCSC-NL spune că nu există încă dovezi de exploatare activă și nu cunoaște cod demonstrativ specific, dar se așteaptă la o creștere rapidă a scanărilor și a abuzului, pentru că produsele sunt larg folosite. Multe defecte pot fi exploatate prin rețea, adesea fără autentificare.
• Recomandarea comună: instalează corecturile Oracle pentru produsele tale cât mai repede, rămâi pe versiuni suportate și folosește matricea oficială de disponibilitate a corecturilor.

• Data exactă a publicării Oracle: avizele naționale sunt datate 21 octombrie; o sursă secundară vorbește de 20 octombrie. Nu am putut citi pagina Oracle.
• Lista completă a versiunilor corectate pentru fiecare produs: se află în avizul Oracle și în matricea de corecturi, nu în acest rezumat.
• Dacă există sau va exista exploatare: la data avizelor, nu era cunoscută.

• Mai întâi, componentele expuse în internet care primesc cereri fără autentificare: E-Business Suite (în special modulele accesibile prin HTTP), Access Manager și orice WebLogic sau SOA Suite cu porturile T3 sau IIOP accesibile din afara rețelei.
• Blochează T3 și IIOP la perimetru dacă nu ai nevoie de ele din exterior; este o măsură veche și utilă pentru WebLogic, independentă de acest CPU.
• Apoi bazele de date, pentru defectul din componenta OpenSSL, accesibil prin TLS: verifică dacă porturile bazei de date sunt expuse dincolo de rețeaua aplicațiilor.
• Apoi Java, MySQL și restul produselor, în ciclul normal, prioritizate după expunere.
• Nu uita aplicațiile de la terți care includ WebLogic, Java sau o bază de date Oracle: cere furnizorului confirmarea că integrează corecturile din octombrie.
• Dacă ai versiuni ieșite din suport, ele nu primesc corecturi. Planifică migrarea și, până atunci, limitează expunerea în rețea.

• Ai o fereastră trimestrială de corectare pentru ERP și middleware, planificată din timp pentru ziua de după CPU? Oracle publică trimestrial și, din septembrie, și lunar (Critical Security Patch Update), deci ritmul s-a schimbat.
• Cine deține fiecare sistem Oracle și cine răspunde de testare înainte de producție? Sistemele ERP sunt critice și greu de oprit, dar sunt și ținte frecvente.
• Ce sisteme Oracle sunt expuse în internet și de ce? Fiecare expunere trebuie să aibă un responsabil și un motiv.

NIS2 cere gestionarea vulnerabilităților și a riscurilor din lanțul de aprovizionare. Dacă găsești o compromitere, entitățile esențiale și importante au avertizarea timpurie în 24 de ore și raportul inițial în 72 de ore pentru incidente semnificative; pentru date personale, GDPR cere notificare în 72 de ore dacă riscul o impune. Aplicabilitatea depinde de situația ta; verifică cu juristul sau cu responsabilul cu protecția datelor.

INCIBE-CERT, NCSC-NL, CERT-Bund și centrul canadian sunt surse autoritative care rezumă avizul Oracle; Oracle rămâne sursa primară pentru versiuni și corecturi. Numărul de 1.295 vine de la INCIBE-CERT. Situația exploatării se poate schimba rapid după un CPU; verifică din nou avizele și catalogul CISA KEV.

Awarely Monitor poate ajuta la evidența sistemelor Oracle expuse și la prioritizarea remedierii, iar Awarely Learning la exercițiile pentru conducere despre ferestrele de corectare. Articolul nu este consultanță juridică și nu garantează conformitatea.