Oracle corrige mais de 1.200 vulnerabilidades em atualização de outubro

A Oracle disponibilizou a atualização trimestral de segurança Critical Patch Update (CPU) de outubro de 2026, que inclui 1.295 correções para vulnerabilidades identificadas em dezenas de produtos e soluções empresariais. Segundo uma análise da Tenable, o conjunto de atualizações abrange 1.209 vulnerabilidades distintas, identificadas através de referências CVE, das quais 95 apresentam uma classificação de gravidade crítica, 439 de gravidade elevada e 582 de gravidade média.

A atualização abrange várias plataformas utilizadas em ambientes empresariais, incluindo bases de dados, aplicações de gestão, Middleware, sistemas de CRM e soluções de infraestrutura. O Oracle Fusion Middleware é o produto com maior número de correções, seguido pelo E-Business Suite e pelo Siebel CRM, evidenciando a dimensão das atualizações necessárias em diferentes componentes do ecossistema Oracle.

A fabricante não identificou qualquer uma das vulnerabilidades corrigidas nesta atualização como estando a ser explorada em ataques reais. No entanto, recorda que recebe periodicamente relatos de tentativas de exploração dirigidas aos seus produtos, recomendando aos clientes a aplicação das correções disponibilizadas.

Fusion Middleware concentra 206 correções

O Oracle Fusion Middleware recebeu 206 correções, o número mais elevado entre os produtos abrangidos pela atualização de outubro. Destas, 134 dizem respeito a vulnerabilidades que podem ser exploradas remotamente sem necessidade de autenticação, segundo os dados divulgados.

Esta característica é particularmente relevante para as organizações que utilizam componentes de Middleware acessíveis através da rede, uma vez que determinados ataques podem ser desencadeados sem que o atacante disponha previamente de credenciais válidas.

O Oracle E-Business Suite surge como o segundo produto com mais correções, com 194, seguido pelo Siebel CRM, com 122. As soluções Oracle Communications receberam 110 patches, enquanto o PeopleSoft e o JD Edwards contabilizaram 109 e 102, respetivamente.

O MySQL recebeu 98 correções e o Java SE foi abrangido por 55 patches. A atualização inclui ainda 50 correções para produtos da área de Supply Chain.

A distribuição das correções por diferentes plataformas demonstra a abrangência do CPU, que inclui tanto componentes de infraestrutura como aplicações diretamente associadas a processos críticos de negócio.

Atualização abrange bases de dados e aplicações empresariais

Além dos produtos com maior número de correções, a Oracle disponibilizou patches para várias outras soluções do seu portfólio, incluindo Oracle Database Server, Enterprise Manager, GoldenGate, REST Data Services, Essbase e Analytics.

A atualização contempla também produtos de Virtualization, Secure Backup, NoSQL Database, TimesTen In-Memory Database, APEX e SQL Developer, bem como soluções destinadas a setores específicos.

Entre estas encontram-se aplicações para serviços financeiros, retalho, saúde, hotelaria, construção e engenharia, além de plataformas de comércio e gestão de serviços públicos. Foram igualmente disponibilizadas correções para Oracle Autonomous Health Framework, Application Testing Suite, Global Lifecycle Management e Trusted Answer Search.

A diversidade dos produtos abrangidos significa que as equipas de segurança e administração de sistemas terão de identificar quais os componentes presentes nas suas infraestruturas e determinar as atualizações aplicáveis a cada ambiente. A prioridade deverá ter em conta a gravidade das vulnerabilidades, a exposição dos sistemas à rede e a importância das aplicações para a continuidade das operações.

Oracle publica alerta adicional para vulnerabilidade no Java

Um dia depois da divulgação do CPU de outubro, a Oracle publicou um alerta de segurança separado relativo à vulnerabilidade CVE-2026-91403, associada ao Java.

O problema está relacionado com o incidente de segurança envolvendo chaves criptográficas fracas da autoridade de certificação eMudhra, que levou à adoção de medidas por parte de fornecedores de Software e do ecossistema de certificados digitais.

A Oracle e o projeto OpenJDK publicaram informações sobre a vulnerabilidade a 21 de outubro, numa resposta destinada a mitigar os riscos associados ao incidente. Este alerta foi divulgado separadamente do conjunto de atualizações incluídas no CPU trimestral, pelo que deverá ser considerado de forma autónoma pelas organizações que utilizam Java.

Próximas atualizações previstas para novembro e dezembro

A Oracle mantém dois mecanismos de disponibilização de correções de segurança: os Critical Patch Updates trimestrais e os Critical Security Patch Updates (CSPU), publicados mensalmente.

Os próximos CSPU estão previstos para 17 de novembro e 15 de dezembro de 2026, seguindo o calendário de publicação na terceira terça-feira de cada mês. Já o próximo CPU trimestral está agendado para 19 de janeiro de 2027, quando a Oracle deverá disponibilizar um novo conjunto de correções para os seus produtos.

Para as organizações que utilizam tecnologias Oracle, a atualização de outubro representa uma oportunidade para rever o estado de segurança dos sistemas e corrigir vulnerabilidades identificadas em diferentes componentes da infraestrutura. Apesar de não existirem indicações de exploração ativa das falhas abrangidas por este CPU, a presença de vulnerabilidades críticas e de problemas exploráveis remotamente sem autenticação justifica uma avaliação prioritária dos sistemas afetados, sobretudo quando estão acessíveis a partir de redes externas.