← Все новости

Безопасность ·

Oracle выпустила октябрьский Critical Patch Update: более 1200 уязвимостейOracle's October Critical Patch Update fixes more than 1,200 vulnerabilities

Квартальный пакет Oracle от 20 октября содержит 1295 исправлений для 1209 уникальных CVE, из них 95 критических. Больше всего досталось Fusion Middleware: 134 бага эксплуатируются удалённо без аутентификации.Oracle's Oct 20 quarterly bundle ships 1,295 fixes for 1,209 unique CVEs, 95 of them critical. Fusion Middleware is hit hardest, with 134 bugs exploitable remotely without authentication.

20 октября Oracle выпустила квартальный Critical Patch Update — традиционно один из крупнейших пакетов исправлений в отрасли.

Цифры

  • 1295 исправлений, по подсчёту Tenable — 1209 уникальных CVE.
  • 95 критических уязвимостей (CVSS 9.0+), 439 высоких и 582 средних.
  • Максимальная оценка — 10.0 у Oracle Access Manager (CVE-2026-87337). Сколько всего «десяток» в пакете, источники расходятся.

Где больше всего

  • Fusion Middleware — 206 исправлений, из них 134 эксплуатируются удалённо без аутентификации. Среди них баги ядра WebLogic Server с оценкой 9.8: CVE-2026-83399 (через T3/IIOP) и CVE-2026-91323 (через HTTP).
  • E-Business Suite — 194 исправления.
  • Также крупные пачки для Siebel CRM, Communications, PeopleSoft, JD Edwards, MySQL, Java SE и Supply Chain.
  • Database Server получил исправление критического бага в компоненте OpenSSL (CVE-2026-75803, 9.8), APEX — CVE-2026-101521 (9.8).

Oracle не отметила ни одну уязвимость как эксплуатируемую в дикой природе. Отдельно компания выпустила алерт по CVE-2026-91403 для Java, связанный с историей скомпрометированных ключей eMudhra.

Что делать

В первую очередь обновить публично доступные WebLogic, Access Manager и APEX: исторически баги WebLogic быстро начинают эксплуатировать после выхода патчей. Следующие обновления безопасности Oracle запланированы на 17 ноября и 15 декабря.

On Oct 20 Oracle released its quarterly Critical Patch Update — traditionally one of the largest patch bundles in the industry.

The numbers

  • 1,295 fixes, which Tenable counts as 1,209 unique CVEs.
  • 95 critical flaws (CVSS 9.0+), 439 high and 582 medium.
  • The top score is 10.0, for Oracle Access Manager (CVE-2026-87337). Sources disagree on how many 10.0 bugs the bundle contains in total.

Where it hits

  • Fusion Middleware — 206 fixes, 134 of them remotely exploitable without authentication. They include WebLogic Server core bugs rated 9.8: CVE-2026-83399 (over T3/IIOP) and CVE-2026-91323 (over HTTP).
  • E-Business Suite — 194 fixes.
  • Sizable batches also for Siebel CRM, Communications, PeopleSoft, JD Edwards, MySQL, Java SE and Supply Chain.
  • Database Server gets a fix for a critical bug in its OpenSSL component (CVE-2026-75803, 9.8), and APEX for CVE-2026-101521 (9.8).

Oracle did not flag any of the flaws as exploited in the wild. Separately, it issued an alert for Java CVE-2026-91403 tied to the compromised eMudhra keys.

What to do

Prioritize internet-facing WebLogic, Access Manager and APEX: historically, WebLogic bugs get exploited quickly once patches ship. Oracle’s next security updates are scheduled for Nov 17 and Dec 15.

Источники