Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Múltiples vulnerabilidades en productos de Oracle

Fecha de publicación 21/10/2026
Identificador
INCIBE-2026-763
Importancia
5 - Crítica
Recursos Afectados

El Critical Patch Update de octubre afecta a múltiples familias de productos Oracle, entre ellas Oracle Database, Oracle E-Business Suite, Oracle Fusion Middleware, Java y MySQL. Revisar la matriz oficial para identificar los productos y versiones instalados.

Descripción

Oracle ha publicado 1.295 nuevos parches de seguridad para distintas familias de productos. Entre las vulnerabilidades abordadas hay fallos críticos de puntuación CVSS 3.1 10,0 que pueden permitir a un atacante remoto sin autenticar comprometer productos accesibles por red.

Solución

Aplicar sin demora las actualizaciones correspondientes a los productos instalados y mantenerse en versiones con soporte activo. Consultar la matriz de disponibilidad de parches y las instrucciones de instalación específicas de cada producto.

Detalle
  • CVE-2026-101809: vulnerabilidad en Workflow Notification Mailer de Oracle E-Business Suite, CVSS 3.1 10,0. Puede explotarse por HTTP sin autenticación y afectar a las versiones 12.2.3–12.2.15.
  • CVE-2026-91216 y CVE-2026-91221: vulnerabilidades en Oracle SOA Suite, CVSS 3.1 10,0. Un atacante sin autenticar con acceso de red por T3 o IIOP podría comprometer el producto. Afectan a las versiones 12.2.1.4.0 y 14.1.2.0.0.
  • CVE-2026-87337: vulnerabilidad en Oracle Access Manager, CVSS 3.1 10,0. Puede explotarse remotamente por HTTP sin autenticación y afectar a las versiones 12.2.1.4.0 y 14.1.2.1.0.
  • CVE-2026-75803: vulnerabilidad en el componente OpenSSL de Oracle Database Server, CVSS 3.1 9,8. Puede explotarse remotamente sin autenticación mediante TLS; afecta a las versiones 19.3–19.32 y 23.4.0–23.26.3.

La tabla recoge cinco CVE prioritarios. La matriz de Oracle contiene el detalle completo de productos, versiones y parches aplicables.

CVE
Identificador CVE Severidad Explotación Fabricante
CVE-2026-101809 Crítica No Oracle
CVE-2026-91216 Crítica No Oracle
CVE-2026-91221 Crítica No Oracle
CVE-2026-87337 Crítica No Oracle
CVE-2026-75803 Crítica No Oracle
Listado de referencias
Oracle Critical Patch Update Advisory - October 2026.
Text Form of Oracle CPU October 2026 Risk Matrices.
Etiquetas