Oracle ha lanzado su actualización de parches críticos de octubre de 2026, la cual incluye 1,295 nuevos parches de seguridad para su cartera de software. Entre las novedades, destaca una vulnerabilidad de severidad máxima en Oracle E-Business Suite que permitiría a atacantes sin credenciales de acceso tomar el control de un componente de flujo de trabajo a través de la red.

Oracle ha lanzado su Actualización de Parches Críticos de octubre de 2026, entregando 1.295 nuevos parches de seguridad en todo su portafolio de software. Publicado el 20 de octubre.

La actualización incluye una vulnerabilidad de Oracle E-Business Suite de severidad máxima que permite a atacantes sin credenciales de inicio de sesión tomar el control de un componente de Workflow afectado a través del acceso a la red.

La cifra principal refleja parches de seguridad en lugar de 1.295 fallos independientes. Oracle señala que la misma vulnerabilidad puede afectar a varios productos y aparecer en múltiples matrices de riesgo.

El análisis de Tenable contabiliza 1.209 CVE únicos en 33 familias de productos de Oracle, resaltando la escala de este lanzamiento. El problema más urgente de E-Business Suite es el CVE-2026-101809, que afecta al componente Workflow Notification Mailer en las versiones 12.2.3 a 12.2.15.

Cuenta con una puntuación CVSS 3.1 de 10.0, la calificación más alta posible. Un atacante puede explotar la debilidad a través de HTTP sin autenticación, y Oracle la describe como fácil de explotar.

Un ataque exitoso puede conducir a la toma de control de Workflow, poniendo en riesgo sus datos y su funcionamiento. Oracle también advierte que el impacto podría extenderse a otros productos.

Por lo tanto, el fallo merece tu atención más allá del componente de correo afectado, especialmente donde los sistemas empresariales conectados dependan del mismo entorno de aplicación.

Actualización de Seguridad de Oracle

Otro problema grave, el CVE-2026-101767, afecta al componente Core de Oracle Application Object Library. Calificado con 9.8, permite la explotación remota a través de HTTP sin credenciales ni interacción del usuario.

Las versiones compatibles de la 12.2.3 a la 12.2.15 están afectadas, con un alto impacto potencial en la privacidad de los datos, la integridad de los mismos y la disponibilidad del servicio.

El aviso de Oracle de octubre de 2026 también enumera el CVE-2026-75803 en el componente OpenSSL del Database Server. Esta vulnerabilidad calificada con 9.8 puede permitir que un atacante no autenticado que utilice el acceso de red TLS tome el control del componente afectado. Las versiones de base de datos 19.3 a 19.32 y 23.4.0 a 23.26.3 están afectadas.

Oracle APEX recibe una corrección crítica para el CVE-2026-101521, otro problema calificado con 9.8. Permite la toma de control a través de HTTPS sin autenticación y afecta a las versiones 24.1.0–24.1.21, 24.2.0–24.2.20 y 26.1.0–26.1.4. Oracle proporciona más detalles sobre el impacto en sus descripciones de riesgo técnico.

Incidentes anteriores resaltan los riesgos de retrasar los parches de Oracle. Cybersecurity News informó previamente sobre la explotación activa del CVE-2026-4681, que afecta a Oracle Payments.

Una campaña de explotación masiva separada dirigida a E-Business Suite fue vinculada al CVE-2025-61882. Ninguno de los incidentes confirma la explotación del fallo de Workflow recién revelado.

Oracle afirma que continúa recibiendo informes de ataques exitosos contra clientes que no han instalado los parches disponibles. La empresa te insta a permanecer en versiones compatibles y a aplicar las actualizaciones de seguridad sin demora.

Debes comprobar las versiones instaladas comparándolas con las tablas de productos afectados de Oracle y seguir los documentos de disponibilidad de parches para obtener instrucciones de instalación.

Los clientes de E-Business Suite también deben revisar los componentes subyacentes de Database y Fusion Middleware, cuyas correcciones se enumeran por separado.

Las restricciones de red temporales pueden reducir la exposición, pero Oracle advierte que pueden interrumpir las aplicaciones y no solucionan los fallos subyacentes. Prueba estos cambios antes de usarlos en producción y trátalos únicamente como una protección a corto plazo hasta que se implementen los parches.

Fuentes:
https://cybersecuritynews.com/massive-oracle-security-update/