オラクル、2026年9月のセキュリティアップデートで800件超の脆弱性を修正

オラクルは火曜日、2026年9月のクリティカル・セキュリティ・パッチ・アップデート(CSPU)の一環として、673件の新規セキュリティパッチをリリースしたと発表しました。

今回のセキュリティアップデートでは、800件を超える脆弱性が修正されたとみられます。2026年9月のCSPUアドバイザリに含まれる17件のリスクマトリックスには、672件の固有CVEが記載されていますが、オラクルはこれ以外にも、他の脆弱性向けパッチによって130件以上の追加CVEが解決されたと述べています。

今回新たに対処されたセキュリティ上の欠陥のうち、100件以上が深刻度「クリティカル」の脆弱性であり、240件以上は認証なしでリモートから悪用可能なものです。

Oracle E-Business Suiteには159件のセキュリティパッチが提供され、今回のCSPUの中で最大のパッチ件数となりました。このうち19件の脆弱性は、認証なしでリモートから悪用可能です。

Fusion Middlewareにも僅差で153件のパッチが提供され、認証なしでリモートから悪用可能な78件の欠陥への修正が含まれています。3番目に多かったのはHyperionで、102件のパッチが提供されました(うち50件は認証なしでリモートから悪用可能)。

また、オラクルはSiebel CRM(63件)、Analytics(50件)、Communications(31件)、Commerce(27件)、Supply Chain(19件)、Virtualization(19件)、PeopleSoft(16件)についても、かなりの数のパッチを展開しました。

特筆すべきはCommunicationsのアップデートで、その半数のパッチが125件以上の追加CVEを解決しています。

今月パッチが提供されたその他のオラクル製品には、Database Server、Enterprise Manager、Financial Services Applications、Application Testing Suite、Java SE、Autonomous Health Framework、Utilities Applicationsが含まれます。

オラクルは、今回の脆弱性のいずれについても実際の悪用は確認されていないとしていますが、自社製品の脆弱性は脅威アクターによって日常的に悪用されているとして、ユーザーに対しできるだけ早くアップデートを適用するよう呼びかけています。

「これまでの事例では、標的となった顧客がオラクルの提供済みパッチを適用していなかったために、攻撃者の侵入を許してしまったケースが報告されています。そのため、オラクルは顧客に対し、積極的にサポートされているバージョンを使用し続け、セキュリティパッチを遅滞なく適用することを強く推奨します」とオラクルは述べています。