Biuletyn Oracle Critical Patch Update z października 2026 r. odnosi się do szerokiego wachlarza luk w zabezpieczeniach produktów firmy Oracle i zawiera 1295 nowych poprawek bezpieczeństwa. Dotyczy to m.in. systemów Oracle Database, Oracle APEX, Fusion Middleware, WebLogic Server, Java SE, MySQL, Enterprise Manager, E-Business Suite, PeopleSoft, Solaris, VirtualBox oraz wielu innych aplikacji korporacyjnych i komponentów infrastrukturalnych.
Kilka z tych luk w zabezpieczeniach zostało sklasyfikowanych jako krytyczne, a ich ocena w skali CVSS 3.1 sięga 9,9. Szczególny niepokój budzą podatności, które można wykorzystać zdalnie za pośrednictwem sieci; mogą one doprowadzić do całkowitego przejęcia kontroli nad danym komponentem, nieautoryzowanego dostępu do wrażliwych danych, modyfikacji informacji lub zakłócenia świadczenia usług. Firma Oracle zdecydowanie zaleca korzystanie z wersji produktów objętych aktywnym wsparciem technicznym oraz niezwłoczne instalowanie poprawek bezpieczeństwa.
CVE-2026-91637 / CVE-2026-91638 / CVE-2026-91658 – CVSS 9.9 (Krytyczna)
Luki te dotyczą komponentu zabezpieczeń (Security) w systemie Oracle Essbase w wersji 21.8.3.0.0. Mogą one zostać wykorzystane zdalnie za pośrednictwem protokołu HTTP przez napastnika z niskim poziomem uprawnień, a udany atak może doprowadzić do całkowitego przejęcia kontroli nad Oracle Essbase. Firma Oracle wskazuje również na zmianę zakresu oddziaływania (scope change), co oznacza, iż wykorzystanie tych luk może znacząco wpłynąć także na inne produkty.
CVE-2026-91663 – CVSS 9.9 (Krytyczna)
Kolejna krytyczna luka w zabezpieczeniach dotyczy systemu Oracle Essbase w wersji 21.8.3.0.0. Atakujący z niskim poziomem uprawnień, posiadający dostęp do sieci za pośrednictwem protokołów T3 lub IIOP, może wykorzystać tę lukę i potencjalnie przejąć kontrolę nad Oracle Essbase. Podatność ta może również wywierać wpływ na bezpieczeństwo wykraczający poza sam podatny na zagrożenia komponent.
CVE-2026-75803 – CVSS 9.8 (Krytyczna), Oracle Database Server
Niniejsza luka dotyczy komponentu OpenSSL w obsługiwanych wersjach systemu Oracle Database Server (19c oraz 23ai), wymienionych w biuletynie zabezpieczeń. Może ona zostać wykorzystana zdalnie za pośrednictwem protokołu TLS przez nieuwierzytelnionego atakującego i nie wymaga żadnych działań ze strony użytkownika. Skuteczne przeprowadzenie ataku może doprowadzić do przejęcia kontroli nad komponentem OpenSSL w systemie RDBMS, co negatywnie wpływa na poufność, integralność oraz dostępność danych.
CVE-2026-101521 – CVSS 9.8 (Krytyczna), Oracle APEX
Podatność, którą można łatwo wykorzystać, dotyczy wersji Oracle APEX 24.1, 24.2 oraz 26.1, zgodnie z informacjami zawartymi w biuletynie bezpieczeństwa. Nieuwierzytelniony atakujący posiadający dostęp do sieci przez HTTPS może wykorzystać tę lukę bez udziału użytkownika; udany atak może doprowadzić do całkowitego przejęcia kontroli nad systemem Oracle APEX.
CVE-2026-91665 – CVSS 9.8 (Krytyczna), Oracle Essbase
Podatność ta dotyczy systemu Oracle Essbase w wersji 21.8.3.0.0 i może zostać wykorzystana przez nieuwierzytelnionego zdalnego napastnika za pośrednictwem protokołu TCP. Skuteczne przeprowadzenie ataku może doprowadzić do całkowitego przejęcia kontroli nad systemem Oracle Essbase, co wiąże się z poważnymi konsekwencjami dla poufności, integralności oraz dostępności danych.
CVE-2026-91644 – CVSS 9.3 (Krytyczna), Oracle Essbase
Nieuwierzytelniony atakujący posiadający dostęp do sieci przez protokół HTTP może wykorzystać tę lukę w oprogramowaniu Oracle Essbase w wersji 21.8.3.0.0. Skuteczne przeprowadzenie ataku może zapewnić dostęp do krytycznych lub wszystkich dostępnych danych, a także umożliwić ich modyfikację. Firma Oracle wskazuje ponadto na potencjalny wpływ na bezpieczeństwo innych produktów, wynikający ze zmiany zakresu (ang. *scope change*).
