Oracle opublikował 20 października 2026 r. październikowy Critical Patch Update (CPU), obejmujący 1 295 nowych poprawek bezpieczeństwa. Aktualizacja dotyczy wielu linii produktów, a dostęp do poprawek CPU zależy od tego, czy dana wersja jest objęta Premier Support lub Extended Support.
Jakie produkty obejmuje aktualizacja
Oracle wymienia m.in. produkty bazodanowe, E-Business Suite, Fusion Middleware, Java SE, MySQL, Communications, JD Edwards, PeopleSoft, Solaris i VirtualBox. Dla wybranych rodzin firma podała następujące liczby poprawek:
| Rodzina produktów Oracle | Liczba poprawek |
| E-Business Suite | 194 |
| Fusion Middleware | 206 |
| Java SE | 55 |
| Database Products | 126 |
| Communications | 110 |
| JD Edwards | 102 |
To zestawienie obejmuje wybrane rodziny, a nie pełny podział wszystkich 1 295 poprawek. Oracle opisuje aktualizacje CPU jako zwykle kumulacyjne; każda edycja wymienia poprawki dodane od poprzedniego CPU.
Co oznacza możliwość zdalnego wykorzystania
Oracle podaje, że podatności, których dotyczą 31 poprawek E-Business Suite, 134 poprawek Fusion Middleware, 49 poprawek Java SE, 77 poprawek Communications i 44 poprawki JD Edwards, mogą być wykorzystywane zdalnie bez uwierzytelnienia. Są to cechy podatności objętych poprawkami, nie liczby potwierdzonych ataków.
Które wersje kwalifikują się do poprawek CPU
Oracle udostępnia poprawki CPU dla wersji produktów objętych Premier Support lub Extended Support. Administratorzy muszą sprawdzić informacje o dostępności i instalacji dla konkretnego produktu oraz wersji. Oracle zamieścił je w advisory październikowego CPU.
CVE-2026-75803 w Oracle Database Server
Oracle przypisał podatności CVE-2026-75803 w komponencie RDBMS OpenSSL produktu Oracle Database Server ocenę CVSS 3.1 wynoszącą 9,8. Wskazane zakresy obsługiwanych wersji to 19.3–19.32 oraz 23.4.0–23.26.3. Atak wymaga dostępu przez sieć z użyciem TLS, ale nie wymaga uwierzytelnienia ani interakcji użytkownika. Szczegóły znajdują się w macierzy ryzyka Oracle.
Zalecenia dotyczące łagodzenia ryzyka
Oracle zaleca szybkie instalowanie poprawek. Do czasu ich wdrożenia blokowanie protokołów sieciowych wymaganych do ataku lub usuwanie zbędnych uprawnień może ograniczyć ryzyko, ale może też zakłócić działanie aplikacji. Oracle zaleca przetestowanie takich zmian poza środowiskiem produkcyjnym i zaznacza, że nie są one rozwiązaniem długoterminowym.
W kalendarzu Oracle jako datę kolejnego kwartalnego CPU wskazano 19 stycznia 2027 r.
