Oracle pubblica 1.295 patch nel Critical Patch Update di ottobre

L’advisory pubblicato da Oracle il 20 ottobre 2026 contiene 1.295 nuove patch di sicurezza per un ampio insieme di prodotti, tra cui database, middleware, Java, MySQL e applicazioni aziendali. Per gli amministratori, i conteggi per famiglia aiutano a individuare cosa controllare nell’inventario; l’accesso alle patch CPU dipende però dalla fase di supporto della versione utilizzata.

Le famiglie di prodotti coinvolte

L’elenco Oracle comprende, tra le altre linee, Oracle Communications, JD Edwards, PeopleSoft, Solaris e VirtualBox. I conteggi riportati per alcune famiglie sono:

Sono conteggi riferiti alle singole famiglie citate nell’advisory, non una ripartizione completa delle 1.295 patch. Oracle definisce i Critical Patch Update, o CPU, come aggiornamenti in genere cumulativi; ogni advisory descrive le patch aggiunte rispetto al CPU precedente. Le correzioni riguardano vulnerabilità nel codice Oracle e in componenti di terze parti inclusi nei prodotti Oracle.

Per cinque famiglie, Oracle indica anche quante patch riguardano vulnerabilità potenzialmente sfruttabili da remoto senza autenticazione: 31 in E-Business Suite, 134 in Fusion Middleware, 49 in Java SE, 77 in Communications e 44 in JD Edwards. Questi numeri descrivono caratteristiche delle vulnerabilità corrette, non attacchi osservati.

Supporto e vulnerabilità in Oracle Database Server

Oracle fornisce le patch CPU soltanto per le versioni coperte da Premier Support o Extended Support. La disponibilità delle patch e le istruzioni di installazione dipendono dal prodotto: gli amministratori possono consultare l’advisory Oracle di ottobre per la documentazione specifica delle singole famiglie.

Per CVE-2026-75803, Oracle indica il componente RDBMS OpenSSL di Oracle Database Server, un punteggio CVSS 3.1 di 9,8 e le versioni supportate interessate 19.3–19.32 e 23.4.0–23.26.3. La matrice descrive un attacco tramite rete e TLS, senza autenticazione né interazione dell’utente; un attacco riuscito può compromettere il componente. I dettagli sono nella matrice dei rischi Oracle.

Le misure temporanee indicate da Oracle

Oracle raccomanda di applicare le patch CPU il prima possibile. Prima dell’installazione, bloccare i protocolli di rete necessari a un attacco o rimuovere privilegi non necessari può ridurre il rischio, ma entrambe le misure possono interrompere funzionalità delle applicazioni. Oracle consiglia di provarle in ambienti non di produzione e precisa che non sostituiscono la correzione della vulnerabilità.

Oracle ha indicato il 19 gennaio 2027 come data del successivo CPU trimestrale.