Oracle ha lanzado su primera Actualización de Parches de Seguridad Críticos (CSPU), proporcionando 35 nuevas correcciones de seguridad para vulnerabilidades graves en varias líneas de productos principales, incluyendo Oracle Database, Oracle REST Data Services, Oracle Communications Unified Assurance, Oracle E‑Business Suite y Oracle Hospitality OPERA 5.

Este nuevo modelo de CSPU está diseñado como un conjunto más pequeño y enfocado de correcciones de alta prioridad que complementa las Actualizaciones de Parches Críticos (CPU) trimestrales ya existentes de Oracle, ofreciéndote una forma más rápida de remediar problemas críticos entre los lanzamientos acumulativos más grandes.

El CSPU del 28 de mayo de 2026 marca el debut del ciclo mensual de parches de seguridad de Oracle, con futuros CSPU planeados para el tercer martes de la mayoría de los meses.

A diferencia de las CPU, que pueden contener cientos de correcciones en docenas de familias de productos, este CSPU se concentra en 35 nuevas vulnerabilidades que Oracle ha evaluado como requeridoras de atención acelerada.

Actualización Crítica de Seguridad de Oracle

Estos parches cubren tanto el código propio de Oracle como componentes de terceros ampliamente utilizados e integrados en los productos de Oracle, tales como Apache Kafka, ActiveMQ, Tomcat, ZooKeeper, MySQL, PCRE2, libpng y Apache HTTP Server.

En la pila de bases de datos, las versiones de Oracle Database Server desde la 23.4.0 hasta la 23.26.2 reciben tres nuevos parches de seguridad para el componente Net Service.

Los tres problemas, rastreados como CVE‑2026‑46833, CVE‑2026‑46834 y CVE‑2026‑46835, pueden ser explotados remotamente a través de TLS sin autenticación, y las correcciones se aplican incluso a instalaciones solo de cliente que no tengan desplegado un servidor de base de datos completo.

Esto hace que la aplicación de parches sea esencial para cualquier entorno donde las bibliotecas de cliente de Oracle estén expuestas a redes no confiables o servicios intermediarios.

Las versiones 24.2.0 a 26.1.0 de Oracle REST Data Services (ORDS) están particularmente afectadas, con 11 nuevos parches de seguridad y actualizaciones adicionales para componentes de terceros incluidos.

Siete de estos fallos son explotables remotamente a través de HTTPS sin credenciales de usuario, afectando al núcleo de ORDS, Backend‑as‑a‑Service, MongoAPI y la pila Eclipse Jetty.

El CVE‑2026‑46840 en el componente Backend‑as‑a‑Service tiene una puntuación base CVSS v3.1 de 10.0, lo que indica un compromiso completo de confidencialidad, integridad y disponibilidad si se explota en un punto final de ORDS expuesto.

Las versiones 6.1.1 a 7.0.0 de Oracle Communications Unified Assurance reciben ocho nuevos parches, incluyendo cuatro vulnerabilidades que son explotables remotamente sin autenticación en los componentes de mensajería y web centrales.

El CSPU también entrega 12 nuevas correcciones para Oracle E‑Business Suite 12.2.3–12.2.15, impactando módulos como Pagos, Nómina, iAssets, Fabricación de Flujo y Módulos Comunes Financieros, con varias puntuaciones CVSS de 9.8 y 9.9 a través de HTTP o HTTPS.

En el dominio de la hostelería, Oracle Hospitality OPERA 5 Property Services se ve afectado por el CVE‑2026‑34311, un problema remoto crítico con una puntuación de 9.8 que impacta múltiples versiones 5.6.x.

Las alertas de seguridad de Oracle proporcionan vulnerabilidades calificadas por CVSS, avisos detallados, matrices de riesgo y feeds CSAF para la gestión de seguridad automatizada.

El aviso subraya que los atacantes continúan explotando fallos ya parcheados en casos donde los clientes han retrasado las actualizaciones con éxito, y te insta encarecidamente a realizar la implementación inmediata de los parches CSPU en todas las versiones compatibles.

Si bien puede ser posible una reducción temporal del riesgo bloqueando los protocolos de red afectados o eliminando privilegios innecesarios.

Oracle advierte que tales medidas pueden romper la funcionalidad de la aplicación y no deben tratarse como sustitutos a largo plazo de la corrección del código subyacente.