Bollettino 2026/0250

[TLP:CLEAR]

bollettino di sicurezza 2026/0250

Oracle Critical Patch Update - Ottobre 2026

23-10-2026

oracle, fusion-middleware, database-server, improper-access-control, http-request-smuggling, scope-changed

Oracle Critical Patch Update - Ottobre 2026

descrizione

Oracle ha pubblicato il Critical Patch Update (CPU) di ottobre 2026, che include 1.295 nuove patch di sicurezza. L'advisory cita complessivamente 1.739 CVE; di queste, 1.209 hanno un punteggio CVSS proprio, mentre le restanti sono corrette indirettamente da altre patch o dichiarate non sfruttabili nel contesto del prodotto.
Tra le CVE citate, 95 sono classificate come "Critical".
Considerato l'elevato numero di vulnerabilità corrette, questo bollettino analizza solo le CVE della matrice Oracle Database Server e quelle con CVSS 10.0 o 9.9.
Per l'elenco completo delle vulnerabilità interessate si rimanda alla documentazione ufficiale del vendor.

Il campione esaminato comprende 34 vulnerabilità su prodotti Oracle e componenti open source di terze parti. Le tipologie rilevate sono:

- Controlli di accesso inadeguati nel componente Workflow di Oracle E-Business Suite (CVE-2026-101809)
- HTTP Request Smuggling in Netty: richieste HTTP/1 convertite in HTTP/2 con interpretazione incoerente
- Consumo incontrollato di risorse in Apache HttpComponents Core: memoria esaurita da header HTTP eccessivi
- Mancata verifica del tag di integrità AEAD in OpenSSL: ChaCha20-Poly1305 e AES-OCB con ciphertext vuoto in EVP_Cipher()
- Autorizzazione non corretta in jackson-databind: bypass di @JsonView su proprietà @JsonUnwrapped
- Vulnerabilità nei prodotti Oracle senza CWE dichiarato: tutte le altre CVE

30 CVE hanno priorità operativa critical.

Al momento della pubblicazione di questo bollettino, non risultano CVE nel catalogo CISA KEV, exploit in the wild o proof-of-concept pubblici.

note

Vettori di attacco e condizioni di sfruttamento

Tutte le CVE del campione hanno vettore CVSS 3.1 e non richiedono interazione dell'utente (UI:N). La combinazione prevalente è AV:N/AC:L/PR:L/UI:N: sfruttamento via rete, complessità bassa, privilegi bassi. Fanno eccezione, per i privilegi, le CVE che non ne richiedono (PR:N): CVE-2026-101809, CVE-2026-91216, CVE-2026-91231, CVE-2026-91221, CVE-2026-93569, CVE-2026-87337, CVE-2026-91299, CVE-2026-54399, CVE-2026-75803. CVE-2026-91479 non richiede privilegi ma ha vettore adiacente (AV:A): serve l'accesso al segmento fisico di comunicazione collegato all'hardware su cui gira RDBMS. CVE-2026-91615 ha complessità alta (AC:H). CVE-2026-73964 richiede privilegi elevati (PR:H) e il privilegio Query Optimizer; CVE-2026-101510 richiede privilegi elevati (PR:H) e accesso locale (AV:L), con logon all'infrastruttura su cui gira Oracle Net Services. Tra le CVE con privilegi bassi, quattro dichiarano un privilegio specifico: DBMS_VECTOR (CVE-2026-91499), DBMS_AW (CVE-2026-91563), Create Table (CVE-2026-91503), Create Session (CVE-2026-91568).

Analisi delle prime 5 CVE con priorità operativa critical

CVE-2026-101809: controllo degli accessi inadeguato (CWE-284) nel componente Workflow Notification Mailer di Oracle E-Business Suite, sfruttabile da un attaccante non autenticato via HTTP (CVSS 10.0). La descrizione documenta il takeover del prodotto; lo scope è modificato, quindi l'impatto può estendersi ad altri prodotti.

CVE-2026-91216: componente Fabric Layer di Oracle SOA Suite, sfruttabile da un attaccante non autenticato via T3 e IIOP, con takeover del prodotto documentato (CVSS 10.0); nessun CWE dichiarato.

CVE-2026-91231: componente Adapters di Oracle SOA Suite, sfruttabile da un attaccante non autenticato via HTTP, con takeover del prodotto documentato (CVSS 10.0); nessun CWE dichiarato.

CVE-2026-91221: componente Fabric Layer di Oracle SOA Suite, con lo stesso vettore e lo stesso canale di CVE-2026-91216 (non autenticato, T3 e IIOP) e takeover documentato (CVSS 10.0).

CVE-2026-101503: pacchetto PLSQL di Oracle Trusted Answer Search, sfruttabile da un attaccante con privilegi bassi via Oracle Net, con takeover del prodotto documentato (CVSS 9.9); nessun CWE dichiarato.

Scope e impatto

La maggioranza delle CVE presenta scope changed (S:C) con impatto elevato su riservatezza, integrità e disponibilità (C:H/I:H/A:H): l'impatto può estendersi oltre il componente direttamente vulnerabile. Fanno eccezione le CVE con scope changed e impatto diverso: CVE-2026-87337 (C:H/I:H/A:N), CVE-2026-91568 (C:H/I:N/A:N), CVE-2026-101501 (C:L/I:H/A:H), CVE-2026-91615 (C:N/I:H/A:N). Le restanti hanno scope unchanged (S:U), cioè impatto confinato al componente vulnerabile: C:H/I:H/A:H per CVE-2026-91499 e CVE-2026-91563; C:H/I:H/A:N per CVE-2026-75803 e CVE-2026-91503; C:H/I:N/A:N per CVE-2026-101512; C:L/I:H/A:N per CVE-2026-93569; C:N/I:H/A:N per CVE-2026-59889; C:L/I:N/A:N per CVE-2026-73964; solo disponibilità (C:N/I:N/A:H) per CVE-2026-91479, CVE-2026-101510 e CVE-2026-54399.

CVE

CVE CVSS EPSS priority 0-day
CVE-2026-101809 3.1: 10.0/critical 0.522% | 43.43% 16.4/critical no
CVE-2026-91231 3.1: 10.0/critical 0.483% | 41.59% 16.2/critical no
CVE-2026-91216 3.1: 10.0/critical 0.483% | 41.59% 16.2/critical no
CVE-2026-91221 3.1: 10.0/critical 0.483% | 41.59% 16.2/critical no
CVE-2026-101503 3.1: 9.9/critical 0.479% | 41.52% 16.1/critical no
CVE-2026-101529 3.1: 9.9/critical 0.479% | 41.51% 16.1/critical no
CVE-2026-101528 3.1: 9.9/critical 0.479% | 41.51% 16.1/critical no
CVE-2026-87337 3.1: 10.0/critical 0.439% | 38.04% 15.9/critical no
CVE-2026-101446 3.1: 9.9/critical 0.447% | 38.93% 15.8/critical no
CVE-2026-91250 3.1: 9.9/critical 0.447% | 38.74% 15.8/critical no
CVE-2026-91251 3.1: 9.9/critical 0.447% | 38.74% 15.8/critical no
CVE-2026-93569 3.1: 8.2/high 2.192% | 82.30% 15.7/critical no
CVE-2026-101501 3.1: 9.9/critical 0.411% | 35.48% 15.4/critical no
CVE-2026-91222 3.1: 9.9/critical 0.389% | 33.05% 15.1/critical no
CVE-2026-91232 3.1: 9.9/critical 0.389% | 33.00% 15.1/critical no
CVE-2026-91299 3.1: 10.0/critical 0.363% | 29.03% 14.7/critical no
CVE-2026-91638 3.1: 9.9/critical 0.350% | 27.50% 14.4/critical no
CVE-2026-91354 3.1: 9.9/critical 0.328% | 25.88% 14.1/critical no
CVE-2026-91499 3.1: 8.8/high 0.389% | 31.85% 13.3/critical no
CVE-2026-91224 3.1: 9.9/critical 0.286% | 21.15% 13.3/critical no
CVE-2026-54399 3.1: 7.5/high 0.779% | 55.41% 13.1/critical no
CVE-2026-91563 3.1: 8.8/high 0.363% | 29.85% 13.1/critical no
CVE-2026-91637 3.1: 9.9/critical 0.262% | 17.12% 12.4/critical no
CVE-2026-91658 3.1: 9.9/critical 0.262% | 17.12% 12.4/critical no
CVE-2026-91663 3.1: 9.9/critical 0.262% | 17.12% 12.4/critical no
CVE-2026-91568 3.1: 7.7/high 0.355% | 29.00% 11.3/critical no
CVE-2026-75803 3.1: 9.1/critical 0.232% | 13.23% 10.4/critical no
CVE-2026-91503 3.1: 8.1/high 0.248% | 15.23% 9.8/critical no
CVE-2026-101512 3.1: 6.5/medium 0.340% | 27.69% 9.4/critical no
CVE-2026-59889 3.1: 6.5/medium 0.346% | 26.91% 9.3/critical no
CVE-2026-91479 3.1: 6.5/medium 0.234% | 13.54% 7.5/high no
CVE-2026-91615 3.1: 6.3/medium 0.223% | 12.83% 7.1/high no
CVE-2026-73964 3.1: 2.7/low 0.302% | 22.89% 3.7/medium no
CVE-2026-101510 3.1: 4.4/medium 0.151% | 4.29% 3.1/medium no

NOTA: Le vulnerabilità sono ordinate per priorità operativa, calcolata combinando la gravità teorica (CVSS) con la probabilità reale di sfruttamento (EPSS). Se il dato EPSS non è ancora disponibile, la priorità è calcolata sul solo score CVSS.
Approfondisci

elenco vulnerabilità

CWE descrizione
CWE-863 Incorrect Authorization
CWE-284 Improper Access Control
CWE-200 Exposure of Sensitive Information to an Unauthorized Actor
CWE-306 Missing Authentication for Critical Function
CWE-269 Improper Privilege Management
CWE-287 Improper Authentication
CWE-20 Improper Input Validation
CWE-400 Uncontrolled Resource Consumption
CWE-354 Improper Validation of Integrity Check Value
CWE-444 Inconsistent Interpretation of HTTP Requests ('HTTP Request/Response Smuggling')

prodotti impattati

vendor prodotto & versioni
Oracle access manager
  • 12.2.1.4.0 (CVE-2026-87337)
  • 14.1.2.1.0 (CVE-2026-87337)
database server
  • da: 23.4.0 a: 23.26.3 (CVE-2026-101512, CVE-2026-91479, CVE-2026-91499, CVE-2026-91503, CVE-2026-91568, CVE-2026-91615)
  • da: 21.3 a: 21.23 (CVE-2026-73964, CVE-2026-91503, CVE-2026-91615)
  • da: 19.3 a: 19.32 (CVE-2026-73964, CVE-2026-91503, CVE-2026-91615)
essbase
  • 21.8.3.0.0 (CVE-2026-91637, CVE-2026-91638, CVE-2026-91658, CVE-2026-91663)
jd edwards enterpriseone orchestrator
  • da: 9.2.0.0 a: 9.2.26.5 (CVE-2026-91299)
oracle business process management suite
  • 12.2.1.4.0 (CVE-2026-91222)
  • 14.1.2.0.0 (CVE-2026-91222)
oracle enterprise manager for oracle database
  • 13.5 (CVE-2026-101528, CVE-2026-101529)
  • 24.1 (CVE-2026-101528, CVE-2026-101529)
oracle net services
  • da: 23.4.0 a: 23.26.3 (CVE-2026-101510)
  • da: 21.3 a: 21.23 (CVE-2026-101510)
  • da: 19.3 a: 19.32 (CVE-2026-101510)
oracle olap
  • da: 23.4.0 a: 23.26.3 (CVE-2026-91563)
  • da: 21.3 a: 21.23 (CVE-2026-91563)
  • da: 19.3 a: 19.32 (CVE-2026-91563)
oracle outside in technology
  • 8.5.8 (CVE-2026-91354)
oracle soa suite
  • 14.1.2.0.0 (CVE-2026-91216, CVE-2026-91221, CVE-2026-91224, CVE-2026-91231, CVE-2026-91232, CVE-2026-91250, CVE-2026-91251)
  • 12.2.1.4.0 (CVE-2026-91216, CVE-2026-91221, CVE-2026-91224, CVE-2026-91231, CVE-2026-91232, CVE-2026-91250, CVE-2026-91251)
oracle trusted answer search
  • 26.1 (CVE-2026-101501, CVE-2026-101503)
siebel crm
  • da: 17.0 a: 26.9 (CVE-2026-101446)
siebel crm cloud applications
  • da: 17.0 a: 26.9 (CVE-2026-101446)
soa suite
  • 12.2.1.4.0 (CVE-2026-91216)
  • 14.1.2.0.0 (CVE-2026-91216)
workflow
  • da: 12.2.3 a: 12.2.15 (CVE-2026-101809)

riferimenti

www.oracle.com/security-alerts/cpuoct2026.html
indietro