Oracle corrige 1.209 vulnerabilidades em atualização de outubro
A Oracle divulgou sua Atualização Crítica de Patch (CPU) de outubro de 2026 com 1.295 correções distribuídas por dezenas de produtos. A diferença entre esse total e os 1.209 CVEs únicos identificados na atualização ocorre porque uma mesma falha pode afetar mais de um produto ou componente.
De acordo com a análise da Tenable, o pacote inclui 95 vulnerabilidades classificadas como críticas, 439 de alta severidade e 582 de média severidade. Os números reforçam a importância de avaliar rapidamente quais sistemas de cada organização estão entre os afetados e planejar a aplicação dos patches.
O Oracle Fusion Middleware concentrou a maior quantidade de correções: foram 206. Desse total, 134 falhas podem ser exploradas remotamente sem autenticação, característica que aumenta a exposição de instalações acessíveis pela rede e torna prioritária a análise desse conjunto de atualizações.
Também receberam volumes expressivos de patches o E-Business Suite, com 194 correções; o Siebel CRM, com 122; e Oracle Communications, com 110. PeopleSoft teve 109, JD Edwards recebeu 102, MySQL contou com 98, Java SE com 55 e Supply Chain, com 50.
A lista de produtos contemplados é ampla. Há atualizações para Oracle Essbase, REST Data Services, Analytics, Systems, Database Server, Construction and Engineering, Enterprise Manager, GoldenGate e Trusted Answer Search. A CPU também abrange Utilities Applications, Secure Backup, Virtualization, Autonomous Health Framework e Financial Services Applications.
Entre os demais produtos corrigidos estão Retail Applications, TimesTen In-Memory Database, Healthcare Applications, Hospitality Applications, Commerce, APEX, Application Testing Suite, Global Lifecycle Management, NoSQL Database e SQL Developer. Empresas com ambientes Oracle diversificados devem, portanto, verificar não apenas os sistemas centrais, mas também serviços auxiliares e aplicações menos visíveis.
A Oracle não informou que alguma das vulnerabilidades corrigidas tenha sido explorada em ataques reais. Ainda assim, a empresa observou que recebe regularmente relatos de tentativas de exploração direcionadas a seus produtos. A ausência de confirmação de ataques bem-sucedidos não elimina o risco: falhas conhecidas podem ser investigadas e incorporadas a campanhas criminosas depois da divulgação de uma atualização.
Um dia após anunciar a CPU, a Oracle publicou um aviso separado e um alerta de segurança sobre o CVE-2026-91403. O caso está relacionado à resposta do Java e da própria Oracle ao incidente envolvendo uma chave fraca da eMudhra. Por se tratar de um comunicado distinto da atualização ampla de outubro, as organizações devem consultar os detalhes do alerta e verificar se os sistemas Java utilizados exigem medidas adicionais.
Como priorizar a aplicação dos patches
O primeiro passo é montar um inventário atualizado dos produtos Oracle instalados, incluindo versões, módulos e serviços expostos à internet ou a redes menos confiáveis. Sem esse levantamento, equipes de TI podem deixar de atualizar componentes secundários que também representam uma porta de entrada.
Na sequência, convém cruzar o inventário com os produtos citados na CPU e priorizar os sistemas com vulnerabilidades críticas ou de alta severidade. Componentes exploráveis remotamente sem autenticação, como parte das falhas do Fusion Middleware, merecem atenção especial, sobretudo quando estão acessíveis externamente.
Antes da implantação em produção, as correções devem ser avaliadas em um ambiente de testes compatível com a infraestrutura da organização. Essa etapa ajuda a identificar possíveis impactos em integrações, aplicações dependentes e rotinas de negócio, sem adiar indefinidamente a instalação dos patches.
Também é recomendável confirmar se as atualizações foram aplicadas corretamente e acompanhar eventuais falhas nos serviços após a mudança. O registro das versões, dos sistemas atualizados e das exceções aprovadas facilita auditorias e reduz o risco de componentes permanecerem vulneráveis por engano.
Enquanto a atualização não puder ser instalada, controles temporários podem ajudar a diminuir a exposição. Entre as medidas possíveis estão restringir o acesso de rede aos serviços afetados, revisar permissões, monitorar atividades incomuns e desativar funções desnecessárias, sempre considerando os requisitos operacionais de cada ambiente.
A CPU de outubro evidencia o desafio de proteger infraestruturas que dependem de muitos produtos e módulos. Um processo contínuo de inventário, avaliação de risco, testes e implantação permite tratar as correções de forma organizada e reduzir o intervalo entre a divulgação de uma falha e a proteção efetiva dos sistemas.