Oracle corrige 1.295 falhas graves em patch crítico de outubro
Oracle lança atualização crítica de outubro com 1.295 vulnerabilidades corrigidas, seis delas com nota máxima 10.0, que permitem controle remoto não autenticado de sistemas corporativos.
Segurança
Atualização da Oracle resolve vulnerabilidades críticas que ameaçavam sistemas corporativos com acesso remoto não autorizado.
Leia também: Disputa legal entre Arm e Qualcomm termina com veredicto limitado
A Oracle lançou sua atualização crítica de segurança de outubro corrigindo 1.295 vulnerabilidades em seus produtos corporativos, seis delas com pontuação máxima de 10,0 em criticidade e potencial para permitir desde o comprometimento total até o controle remoto não autenticado de sistemas usados por grandes empresas.
Quais foram as principais vulnerabilidades corrigidas pela Oracle em outubro?
As principais vulnerabilidades atingem diretamente plataformas centrais de negócio, como Oracle E-Business Suite, Oracle SOA Suite, Oracle Fusion Middleware, Oracle Access Manager e JD Edwards EnterpriseOne Orchestrator, todas com falhas exploráveis via rede que podem ser acionadas por atacantes não autenticados.
No Oracle E-Business Suite, a falha CVE-2026-101809 afeta o componente Workflow Notification Mailer em versões do Workflow da 12.2.3 à 12.2.15. Segundo a descrição técnica, a brecha “permite que um atacante não autenticado com acesso de rede via HTTP comprometa o sistema Workflow”, o que pode ter impacto em outros produtos conectados ao módulo.
O Oracle SOA Suite, parte do Oracle Fusion Middleware, concentra três vulnerabilidades avaliadas com nota 10,0. A CVE-2026-91231, localizada no componente Adapters, “resulta em sua tomada de controle, com potencial impacto em produtos conectados”, caso explorada por um invasor com acesso de rede. Outras duas falhas críticas, CVE-2026-91216 e CVE-2026-91221, estão no componente Fabric Layer, em versões suportadas 12.2.1.4.0 e 14.1.2.0.0, descritas como “vulnerabilidades facilmente exploráveis via protocolos T3 ou IIOP”, permitindo comprometer o Oracle SOA Suite e, possivelmente, outros sistemas integrados.
Outra brecha de pontuação máxima está no Oracle Access Manager, também dentro do Oracle Fusion Middleware. Classificada como CVE-2026-87337, ela “deixa o Oracle Access Manager aberto à criação, exclusão ou modificação não autorizada de dados críticos” por atacantes não autenticados com acesso via HTTP, afetando as versões 12.2.1.4.0 e 14.1.2.1.0.
O sexto problema mais grave é a CVE-2026-91299, no JD Edwards EnterpriseOne Orchestrator, que “permite a um invasor não autenticado comprometer e assumir o controle do JD Edwards EnterpriseOne Orchestrator” em versões da 9.2.0.0 à 9.2.26.5, também por meio de acesso HTTP.
O que significa uma vulnerabilidade com pontuação 10.0 no patch da Oracle?
Uma vulnerabilidade com pontuação 10,0 indica risco máximo: exploração relativamente simples, possibilidade de ataque remoto pela rede, sem necessidade de autenticação prévia, com potencial de tomada de controle do sistema ou alteração de dados críticos.
Na prática, isso quer dizer que, se os patches não forem aplicados, atacantes podem usar essas brechas como porta de entrada em ambientes corporativos para interromper operações, roubar informações sensíveis, movimentar-se lateralmente entre sistemas integrados e disparar ataques em cadeia contra outros produtos Oracle conectados.
Entenda o contexto
O pacote de outubro reforça a criticidade da superfície de ataque em ambientes que dependem da Oracle para processos financeiros, de manufatura, logística e serviços. Muitos desses sistemas são expostos a redes internas e externas, com integração intensa entre módulos, o que amplia o impacto potencial de uma única falha não corrigida.
Com 1.295 vulnerabilidades tratadas de uma só vez, equipes de TI e segurança correm para avaliar quais produtos e versões estão em uso, priorizar as seis falhas de nota 10,0 e planejar janelas de manutenção para aplicação dos patches, equilibrando a urgência da correção com a necessidade de manter sistemas críticos em operação contínua.
A expectativa é que administradores revisem políticas de atualização, reforcem monitoramento de tentativas de exploração via HTTP, T3 e IIOP e adotem camadas adicionais de proteção, já que brechas desse tipo costumam ser rapidamente incorporadas em ferramentas automatizadas de ataque assim que os detalhes técnicos se tornam públicos.
