Oracle пусна своето тримесечно критично обновяване на сигурността (Critical Patch Update) за октомври 2026 г., предоставяйки 1295 нови корекции за сигурност в цялото си софтуерно портфолио. Бюлетинът е публикуван на 20 октомври.

Обновяването включва уязвимост с максимална степен на критичност в Oracle E-Business Suite, която позволява на атакуващи без идентификационни данни за вход да поемат пълен контрол над засегнатия компонент Workflow чрез мрежов достъп.

Водещата цифра отразява броя на издадените корекции за сигурност, а не 1295 отделни уязвимости. Oracle отбелязва, че една и съща слабост може да засяга няколко продукта и да присъства в множество матрици на риска.

Анализът на Tenable отчита 1209 уникални CVE идентификатора в 33 продуктови фамилии на Oracle, което подчертава мащаба на това издание. Най-спешният проблем в E-Business Suite е CVE-2026-101809, който засяга компонента Workflow Notification Mailer във версии от 12.2.3 до 12.2.15.

Той има CVSS 3.1 оценка 10.0, което е най-високият възможен рейтинг. Атакуващ може да експлоатира уязвимостта през HTTP без автентикация, като Oracle я описва като лесна за експлоатиране.

Успешна атака може да доведе до компрометиране и поемане на контрол над Workflow, излагайки на риск неговите данни и работа. Oracle също предупреждава, че въздействието може да се разпростре и върху други свързани продукти.

Поради това уязвимостта изисква сериозно внимание отвъд самия засегнат пощенски компонент, особено в случаите, когато свързани бизнес системи зависят от същата среда на приложението.

Обновление за сигурност от Oracle

Друг сериозен проблем, CVE-2026-101767, засяга основния компонент Core на Oracle Application Object Library. Оценен с 9.8, той позволява дистанционна експлоатация през HTTP без необходимост от потребителски данни или взаимодействие с потребител.

Засегнати са поддържаните версии от 12.2.3 до 12.2.15, с високо потенциално отражение върху поверителността на данните, целостта на данните и наличността на услугите.

Бюлетинът на Oracle за октомври 2026 г. посочва и CVE-2026-75803 в компонента OpenSSL на Database Server. Тази уязвимост с оценка 9.8 може да позволи на неавтентициран атакуващ с TLS мрежов достъп да поеме контрол над засегнатия компонент. Засегнати са версии на базата данни от 19.3 до 19.32 и от 23.4.0 до 23.26.3.

Oracle APEX получава критична корекция за CVE-2026-101521 – друг проблем с рейтинг 9.8. Той позволява поемане на контрол през HTTPS без автентикация и засяга версии 24.1.0–24.1.21, 24.2.0–24.2.20 и 26.1.0–26.1.4. Oracle предоставя допълнителни подробности за въздействието в своите технически описания на риска.

Предишни инциденти подчертават рисковете от забавяне на инсталирането на корекциите от Oracle. Cybersecurity News вече съобщи за активна експлоатация на CVE-2026-4681, засягаща Oracle Payments.

Отделна кампания за масова експлоатация, насочена към E-Business Suite, беше свързана с CVE-2025-61882. Нито един от тези инциденти не потвърждава експлоатация на новоразкритата уязвимост в Workflow.

Oracle заявява, че продължава да получава доклади за успешни атаки срещу клиенти, които не са инсталирали наличните корекции за сигурност. Компанията настоятелно призовава организациите да използват поддържани версии и да прилагат обновленията за сигурност незабавно.

Системните администратори трябва да проверят инсталираните версии спрямо таблиците със засегнати продукти на Oracle и да следват документацията за наличност на корекциите за инструкции по инсталирането.

Клиентите на E-Business Suite трябва също така да проверят базовите компоненти на Database и Fusion Middleware, чиито корекции са изброени отделно.

Временните мрежови ограничения могат да намалят експозицията, но Oracle предупреждава, че те могат да нарушат работата на приложенията и не отстраняват първопричините за уязвимостите. Тествайте тези промени преди внедряване в реална работна среда и ги третирайте само като краткосрочна защита, докато бъдат инсталирани корекциите за сигурност.