Oracle'ın Ekim 2026 yama paketi altısı CVSS 10.0 olan 1.209 açığı kapattı

Oracle, yılın son çeyreklik güvenlik güncellemesi olan Ekim 2026 Critical Patch Update (CPU) paketini 20 Ekim Salı günü yayımladı. Tenable'ın Security Boulevard'da yayımlanan analizine göre paket, 33 ürün ailesinde 1.209 benzersiz CVE'yi gideren 1.295 güvenlik yaması içeriyor. SecurityOnline'ın aktardığına göre bu açıklardan altısı en yüksek CVSS puanı olan 10.0'a sahip ve kimlik doğrulaması olmadan uzaktan istismar edilebiliyor. Bu nedenle güncelleme, Oracle ara katman yazılımı ve iş uygulamaları kullanan kurumlar için öncelikli.

Neler oldu?

Tenable'a göre yamaların 112'si (yaklaşık yüzde 8,6) kritik, 475'i yüksek, 613'ü orta ve 95'i düşük önem derecesinde. En fazla yamayı 206 ile Fusion Middleware aldı; bunların 134'ü kimlik bilgisi gerektirmeden uzaktan istismar edilebilen açıklarla ilgili. Fusion Middleware'i 194 yamayla E-Business Suite, ardından Siebel CRM (122), Communications (110), PeopleSoft (109), JD Edwards (102) ve MySQL (98) izliyor. SecurityOnline, uzaktaki bir saldırganın kimlik bilgisi olmadan istismar edebileceği 562 kayıt saydı. Bazı ürün ailelerine ait rakamlar yayımlanan analizler arasında küçük farklılıklar gösteriyor.

Teknik detaylar

SecurityOnline'a göre CVSS 10.0 puanlı altı açık şunlar:

• E-Business Suite Workflow Notification Mailer bileşeninde CVE-2026-101809 (HTTP)
• Oracle Access Manager kimlik doğrulama motorunda CVE-2026-87337 (HTTP)
• Oracle SOA Suite Fabric katmanında CVE-2026-91216 ve CVE-2026-91221 (T3, IIOP)
• Oracle SOA Suite Adapters bileşeninde CVE-2026-91231 (HTTP)
• JD Edwards EnterpriseOne Orchestrator'da CVE-2026-91299 (HTTP)

Yayına göre Access Manager açığı, kimliği doğrulanmamış bir saldırgana Access Manager verileri üzerinde tam okuma ve yazma yetkisi verebilir ve etkisi bağlı uygulamalara uzanabilir. Oracle ise SOA Suite açıklarının ürünün tamamen ele geçirilmesine yol açabileceğini belirtiyor. WebLogic Server, tamamı kimlik doğrulamasız uzaktan istismar edilebilen 11 yama aldı. Bunlar arasında 9.8 puanlı iki çekirdek açığı bulunuyor: T3 ve IIOP üzerinden CVE-2026-83399 ile HTTP üzerinden CVE-2026-91323. Öne çıkan diğer açıklar arasında Database Server'daki OpenSSL kaynaklı 9.8 puanlı CVE-2026-75803 ve APEX'teki 9.8 puanlı CVE-2026-101521 var. Java SE ise 49'u kimlik doğrulamasız uzaktan istismar edilebilen 55 yama aldı, ancak bunların hiçbiri kritik değil.

Kimler etkileniyor?

Oracle Fusion Middleware (WebLogic, SOA Suite, Access Manager), E-Business Suite, JD Edwards, Siebel, PeopleSoft, MySQL, Database Server ve Java SE kullanan kurumlar etkileniyor. SecurityOnline'a göre Oracle'ın risk matrislerinde bu açıklardan hiçbiri aktif olarak istismar edilmiş olarak işaretlenmedi ve doğrulanmış bir kamuya açık kavram kanıtı kodu bulunmuyor. Ancak yayın, geçmiş dönemlerde saldırganların Oracle yamalarını birkaç gün içinde tersine mühendislikle çözdüğünü hatırlatıyor.

Ne yapmalı?

Oracle, müşterilerin Ekim 2026 bültenindeki ilgili yamaları uygulamasını öneriyor. SecurityOnline'ın önerdiği öncelik sırasına göre önce internete açık WebLogic, SOA Suite, Access Manager ve E-Business Suite sunucuları, ardından kimlik doğrulamasız uzaktan istismar edilebilen diğer açıklar, son olarak da Database Server, MySQL ve Java SE gibi iç sistemler bir sonraki bakım penceresinde güncellenmeli. Yamanın geciktiği durumlarda güvenilmeyen ağlardan gelen T3 ve IIOP trafiği, örneğin WebLogic bağlantı filtreleriyle engellenmeli; yönetim konsolları ve SOA uç noktaları internete kapatılmalı, Access Manager günlükleri olağan dışı kimlik doğrulama istekleri için izlenmeli. Oracle'ın bir sonraki CPU paketi 19 Ocak 2027'de yayımlanacak.