Vulnerabilidades y Avisos de Seguridad: Múltiples vulnerabilidades en productos de Oracle

Resumen de la alerta

Oracle ha publicado su Critical Patch Update de octubre de 2026, que incorpora 1.295 parches de seguridad para varias familias de productos. La actualización abarca, entre otros, Oracle Database, Oracle E-Business Suite, Oracle Fusion Middleware, Java y MySQL.

Entre los problemas corregidos se encuentran vulnerabilidades críticas con puntuación CVSS 3.1 de 10,0. Algunas de ellas podrían permitir que un atacante remoto no autenticado comprometa servicios Oracle expuestos en red. INCIBE-CERT identifica cinco CVE prioritarios, incluida una vulnerabilidad con CVSS 9,8 en el componente OpenSSL de Oracle Database Server.

La fuente indica “Explotación: No” para los CVE destacados. Por tanto, no se informa de explotación activa o confirmada de estas vulnerabilidades. No obstante, la criticidad, la ausencia de autenticación en varios casos y la exposición de servicios de red justifican una revisión y actualización prioritaria.

Recursos afectados

El aviso afecta a múltiples productos Oracle. Las versiones concretas identificadas para los CVE prioritarios son las siguientes:

• Oracle E-Business Suite, componente Workflow Notification Mailer: versiones 12.2.3–12.2.15.
• Oracle SOA Suite: versiones 12.2.1.4.0 y 14.1.2.0.0.
• Oracle Access Manager: versiones 12.2.1.4.0 y 14.1.2.1.0.
• Oracle Database Server, componente OpenSSL: versiones 19.3–19.32 y 23.4.0–23.26.3.

Además de estos productos, el Critical Patch Update de Oracle contempla otras familias, entre ellas Oracle Fusion Middleware, Java y MySQL. Las organizaciones deben contrastar su inventario con la matriz oficial de Oracle para determinar todos los productos y versiones afectados en su entorno.

Descripción de las vulnerabilidades

Los problemas destacados se distribuyen entre aplicaciones empresariales, componentes de gestión de identidades, middleware y servidores de bases de datos. Cuatro de los cinco CVE prioritarios tienen una severidad crítica de CVSS 3.1 10,0.

• CVE-2026-101809: vulnerabilidad en Workflow Notification Mailer de Oracle E-Business Suite, con CVSS 3.1 10,0. Puede explotarse mediante HTTP sin autenticación en las versiones 12.2.3–12.2.15.
• CVE-2026-91216 y CVE-2026-91221: vulnerabilidades en Oracle SOA Suite, ambas con CVSS 3.1 10,0. Un atacante no autenticado con acceso de red mediante T3 o IIOP podría comprometer el producto en las versiones 12.2.1.4.0 y 14.1.2.0.0.
• CVE-2026-87337: vulnerabilidad crítica en Oracle Access Manager, con CVSS 3.1 10,0. Puede ser accesible remotamente por HTTP sin requerir autenticación y afecta a las versiones 12.2.1.4.0 y 14.1.2.1.0.
• CVE-2026-75803: vulnerabilidad en el componente OpenSSL de Oracle Database Server, con CVSS 3.1 9,8. Puede explotarse remotamente sin autenticación mediante TLS en las versiones 19.3–19.32 y 23.4.0–23.26.3.

La presencia de interfaces HTTP, TLS, T3 o IIOP es relevante para la priorización: el riesgo práctico depende de que estos servicios estén disponibles para potenciales atacantes a través de las redes desde las que puedan acceder a ellos.

Impacto y nivel de riesgo

Según la información publicada, una explotación satisfactoria de los CVE críticos podría permitir a un atacante remoto no autenticado comprometer los productos afectados. La falta de requisito de autenticación reduce las barreras de entrada cuando los servicios vulnerables son accesibles por red.

Los casos de Oracle E-Business Suite y Oracle Access Manager pueden explotarse por HTTP. Las vulnerabilidades de Oracle SOA Suite requieren acceso de red mediante T3 o IIOP, mientras que la identificada en Oracle Database Server se asocia a conexiones TLS.

La puntuación CVSS 3.1 10,0 representa el máximo nivel de severidad en esta escala y debe tratarse como una prioridad elevada de remediación. Sin embargo, la información disponible no confirma ataques, campañas ni explotación activa de los CVE indicados. El riesgo descrito es potencial y está condicionado por la presencia de versiones vulnerables y por la exposición de los servicios implicados.

Solución y medidas recomendadas

La medida indicada por INCIBE-CERT es aplicar sin demora las actualizaciones de Oracle correspondientes a los productos instalados y mantener los sistemas en versiones con soporte activo. Oracle ha publicado la matriz de disponibilidad de parches y las instrucciones de instalación específicas para cada producto.

Antes de desplegar las actualizaciones, las organizaciones deberían identificar las instancias Oracle afectadas, confirmar sus versiones y revisar qué servicios están expuestos mediante HTTP, TLS, T3 o IIOP. Esta revisión ayuda a priorizar los activos que pueden ser accesibles desde redes externas o segmentos con menor nivel de confianza.

Como medida complementaria, y sin sustituir la aplicación de los parches oficiales, conviene limitar el acceso de red a los servicios Oracle únicamente a los orígenes necesarios para su funcionamiento. Esta medida puede reducir la superficie de exposición mientras se completa el proceso de actualización.

Recomendaciones para organizaciones afectadas

1. Inventariar los productos Oracle desplegados y comprobar si se encuentran entre las familias incluidas en el Critical Patch Update de octubre de 2026.
2. Priorizar Oracle E-Business Suite, Oracle SOA Suite, Oracle Access Manager y Oracle Database Server cuando coincidan con las versiones afectadas indicadas.
3. Revisar la exposición de los servicios HTTP, TLS, T3 e IIOP asociados a los productos vulnerables.
4. Consultar la matriz oficial de Oracle para identificar los parches aplicables a cada producto y versión instalada.
5. Aplicar las actualizaciones siguiendo las instrucciones específicas del fabricante y mantener los productos en versiones con soporte activo.