Múltiples vulnerabilidades en productos de Oracle
INCIBE-CERT avisos · 21 oct, 08:10
Oracle ha publicado 1.295 parches de seguridad en su Critical Patch Update de octubre para múltiples productos (Database, E-Business Suite, Fusion Middleware, Java y MySQL). Al menos cinco vulnerabilidades críticas con CVSS 10,0 permiten a atacantes remotos sin autenticación comprometer sistemas accesibles por red, destacando fallos en Workflow Notification Mailer, SOA Suite, Access Manager y componentes OpenSSL.
El aviso de INCIBE detalla vulnerabilidades de máxima severidad que afectan a productos ampliamente desplegados. CVE-2026-101809 en Oracle E-Business Suite (versiones 12.2.3–12.2.15) es explotable por HTTP sin credenciales; CVE-2026-91216 y CVE-2026-91221 en SOA Suite (12.2.1.4.0 y 14.1.2.0.0) requieren acceso de red por T3 o IIOP; CVE-2026-87337 en Access Manager (12.2.1.4.0 y 14.1.2.1.0) se explota remotamente por HTTP; CVE-2026-75803 en el componente OpenSSL de Database Server (19.3–19.32 y 23.4.0–23.26.3) afecta conexiones TLS.
El elevado número de parches (1.295) y la concentración de vulnerabilidades críticas explotables sin autenticación requieren despliegue urgente. La recomendación es aplicar sin demora las actualizaciones correspondientes a los productos instalados y mantenerse en versiones con soporte activo, consultando la matriz oficial de Oracle para identificar productos, versiones y parches aplicables.
Puntos clave
- CVE-2026-101809, CVE-2026-91216, CVE-2026-91221, CVE-2026-87337: CVSS 10,0; explotables sin autenticación
- CVE-2026-75803 en OpenSSL de Database Server: CVSS 9,8 por TLS
- Afecta a E-Business Suite 12.2.3–12.2.15, SOA Suite 12.2.1.4.0 y 14.1.2.0.0, Access Manager, Database 19.x–23.x
- Aplicar sin demora según la matriz de disponibilidad de Oracle
- 1.295 parches en total en el CPU de octubre