Vulnerabilità · 4 ore fa

1.295 patch Oracle, cinque falle con impatti diversi

Oracle ha pubblicato 1.295 patch nel Critical Patch Update di ottobre. INCIBE-CERT evidenzia cinque CVE prioritarie: quattro hanno CVSS 10.0 e consentono la compromissione remota senza autenticazione; la quinta ha CVSS 9.8.

Le quattro falle interessano Workflow Notification Mailer di E-Business Suite, SOA Suite e Access Manager: l’attacco passa da HTTP oppure, per SOA Suite, da T3 o IIOP. La vulnerabilità OpenSSL di Oracle Database Server è distinta e sfrutta TLS. Le versioni indicate comprendono E-Business Suite 12.2.3–12.2.15, SOA Suite 12.2.1.4.0 e 14.1.2.0.0, Access Manager 12.2.1.4.0 e 14.1.2.1.0, Database Server 19.3–19.32 e 23.4.0–23.26.3.

La correzione applicabile dipende dai prodotti e dalle versioni installati, non dal totale delle patch: il rischio riguarda i componenti interessati che sono raggiungibili in rete. Le fonti non riferiscono sfruttamento attivo; le versioni non supportate restano fuori dal percorso di aggiornamento indicato.

CVE-2026-75803

NVD KEV

EPSS 0.2% (13º percentile).

CVE-2026-101809

NVD KEV

CVSS 10 CRITICAL: vulnerability in the Workflow product of Oracle E-Business Suite (component: Workflow Notification Mailer).

CVE-2026-87337

NVD KEV

CVSS 10 CRITICAL: vulnerability in the Oracle Access Manager product of Oracle Fusion Middleware (component: Authentication Engine).

CVE-2026-91216

NVD KEV

CVSS 10 CRITICAL: vulnerability in the Oracle SOA Suite product of Oracle Fusion Middleware (component: Fabric Layer).

CVE-2026-91221

NVD KEV

CVSS 10 CRITICAL: vulnerability in the Oracle SOA Suite product of Oracle Fusion Middleware (component: Fabric Layer).

Cronologia

Fonti

4 fonti che coprono questa storia

Entità

Part of the PlainSec briefing for 2026-10-21

Editions

Storie correlate