Oracle пусна един от най-големите си месечни пакети за сигурност до момента, предоставяйки 673 нови корекции за сигурност в своето актуализиране Critical Security Patch Update (CSPU) за септември 2026 г., за да отстрани сериозни дефекти в цялото си портфолио от корпоративен софтуер.

Бюлетинът за сигурност, публикуван на 15 септември, обхваща 17 продуктови фамилии и включва над 100 уязвимости с критична степен на сериозност, като над 240 дефекта са отдалечено експлоатируеми без автентификация. Това означава, че атакуващ може да ги използва по мрежата без валидни идентификационни данни.

Въпреки че водещото число е 673 корекции за сигурност, истинският обхват е по-широк. Бюлетинът на Oracle съдържа 672 уникални CVE в публикуваните си матрици на риска, но производителят отбелязва, че над 130 допълнителни CVE са били тихомълком отстранени чрез корекции, включени в пакети за други дефекти. Това увеличава ефективния общ брой отстранени уязвимости на над 800 в едно издание.

Това размива традиционната граница между по-леките месечни CSPU актуализации на Oracle и по-тежките тримесечни Critical Patch Updates (CPU) – тенденция, която се ускори през цялата 2026 г.

Oracle September Security Update

CSPU е сравнително ново допълнение към програмата за сигурност на Oracle, въведено за първи път през май 2026 г. като целево издание с висок приоритет, проектирано да бъде по-лесно за внедряване с минимални оперативни смущения.

Тези обновления се издават на третия вторник от февруари, март, май, юни, август, септември, ноември и декември, запълвайки празнините между кумулативните тримесечни CPU издания, пускани всеки януари, април, юли и октомври.

Според бюлетина за сигурност, публикуван от Oracle, целта е да се съкрати прозорецът, по време на който известни уязвимости остават експлоатируеми в средите на клиентите. Следващите планирани издания са CPU на 20 октомври, последвани от CSPU на 17 ноември и 15 декември.

Oracle E-Business Suite поема най-големия дял от отстранени проблеми със 159 корекции за сигурност, 19 от които са отдалечено експлоатируеми без автентификация.

Fusion Middleware следва плътно със 153 корекции за сигурност – особено обезпокоителна партида, като се има предвид, че 78 от тези дефекти са без автентификация и мрежово експлоатируеми. Това е вид излагане на риск, което се картографира директно към достъпна през интернет корпоративна инфраструктура. Hyperion се нарежда на трето място със 102 корекции за сигурност, половината от които не изискват автентификация за експлоатация.

Извън първите три, Oracle разпространи значителни корекции за Siebel CRM (63), Analytics (50), Communications (31), Commerce (27), Supply Chain (19), Virtualization (19) и PeopleSoft (16).

Обновлението за Communications е забележително, тъй като приблизително половината от неговите корекции за сигурност отстраняват над 125 допълнителни CVE, произтичащи главно от включени компоненти на трети страни.

Допълнителни фамилии, на които се обръща внимание, включват Database Server, Enterprise Manager, Financial Services Applications, Application Testing Suite, Java SE, Autonomous Health Framework и Utilities Applications.

Oracle не споменава някоя от тези конкретни уязвимости от септември да е била експлоатирана активно, но компанията отправи познато и категорично предупреждение.

Тя продължава да получава доклади за киберпрестъпници, които постигат успех срещу организации, които просто не са успели да инсталират вече наличните корекции за сигурност – повтарящ се модел, при който пролуката между разкриването и отстраняването се превръща във входна точка за атакуващия.

Този риск не е теоретичен: по-рано през 2026 г. CISA даде на федералните агенции само 72 часа за отстраняване на активно експлоатирана уязвимост в софтуер на Oracle (CVE-2026-21962, CVSS 10.0), която е била коригирана месеци по-рано.

Предвид обема от уязвимости без автентификация и отдалечено експлоатируеми дефекти в това издание, екипите по сигурност трябва приоритетно да актуализират изложените в интернет среди с Fusion Middleware, E-Business Suite и Hyperion.

Oracle настоятелно призовава клиентите да останат на активно поддържани версии и да инсталират корекциите за сигурност незабавно. Пълните документи за наличност на корекции и матриците на риска по продукти са достъпни в официалния бюлетин за CSPU от септември 2026 г.