Oracleは2026年10月のクリティカルパッチアップデート（CPU）を公開しました。エンタープライズ向け製品群全体で、1,295件の新たなセキュリティパッチが含まれています。10月20日に公開されたこのアドバイザリは、Oracle製ソフトウェアの脆弱性に加え、サードパーティ製コンポーネントの脆弱性にも対処しています。
特に注目されるのは、認証なしでリモートから悪用可能な重大な欠陥が修正されている点です。影響を受ける製品には、データベース、ミドルウェア、業務アプリケーション、Java、MySQL、仮想化プラットフォームなどが含まれます。
Oracleは、すでにパッチが提供されている脆弱性を狙った攻撃が今も試みられていると警告しています。報告された攻撃の一部は、顧客が必要な修正を適用していなかったために成功しました。迅速な対処と、サポート対象のソフトウェアバージョンを維持することの重要性があらためて浮き彫りになっています。
脆弱性診断サービス
Oracleがセキュリティパッチを公開
Oracle Database製品では、Database Server、APEX、Essbase、GoldenGate、REST Data Servicesなど、さまざまなコンポーネントに対して126件の新たなセキュリティパッチが提供されました。
| 製品ファミリー／製品 | セキュリティパッチ数 | 認証なしでリモートから悪用可能な件数 |
|---|---|---|
| Oracle Fusion Middleware | 206 | 134 |
| Oracle E-Business Suite | 194 | 31 |
| Oracle Siebel CRM | 122 | 66 |
| Oracle Communications | 110 | 77 |
| Oracle PeopleSoft | 109 | 41 |
| Oracle JD Edwards | 102 | 44 |
| Oracle MySQL | 98 | 29 |
| Oracle Java SE | 55 | 49 |
| Oracle Supply Chain | 50 | 19 |
| Oracle Essbase | 38 | 14 |
| Oracle REST Data Services | 35 | 11 |
| Oracle Analytics | 33 | 14 |
| Oracle Systems | 28 | 9 |
| Oracle Database Server | 14 | 4 |
| Oracle Construction and Engineering | 13 | 7 |
| Oracle Enterprise Manager | 12 | 2 |
| Oracle GoldenGate | 11 | 3 |
| Oracle Trusted Answer Search | 8 | 1 |
| Oracle Utilities Applications | 8 | 7 |
| Oracle Secure Backup | 6 | 3 |
| Oracle Virtualization | 6 | 0 |
| Oracle Autonomous Health Framework | 5 | 1 |
| Oracle Financial Services Applications | 5 | 5 |
| Oracle Retail Applications | 5 | 5 |
| Oracle TimesTen In-Memory Database | 4 | 0 |
| Oracle HealthCare Applications | 4 | 4 |
| Oracle Hospitality Applications | 4 | 4 |
| Oracle Commerce | 3 | 2 |
| Oracle APEX | 2 | 2 |
| Oracle Application Testing Suite | 2 | 0 |
| Oracle Global Lifecycle Management | 1 | 0 |
| Oracle NoSQL Database | 1 | 1 |
| Oracle SQL Developer | 1 | 1 |
| 合計 | 1,295 | 690 |
Database Serverに対するパッチは14件で、そのうち4件の脆弱性は認証なしでリモートから悪用される恐れがあります。また、2件のパッチはクライアント専用のインストール環境にも適用されます。
重大な問題の一つが、Database ServerのOpenSSLコンポーネントに存在するCVE-2026-75803です。CVSS 3.1のスコアは9.8と評価されています。
攻撃者は、認証情報やユーザー操作がなくても、TLS経由でこの脆弱性を悪用できます。Oracleは、機密性、完全性、可用性への影響をいずれも「高」と評価しています。影響を受けるリリースは、19.3～19.32および23.4.0～23.26.3です。
脆弱性診断サービス
Oracle APEXには2件のパッチが提供されました。うち1件のCVE-2026-101521も、スコアは9.8です。General コンポーネントに存在するこの脆弱性により、HTTPS経由で認証なしのネットワーク攻撃を受ける恐れがあります。攻撃の複雑さは低く、ユーザー操作も不要です。影響を受けるのは、APEXのバージョン24.1.0～24.1.21、24.2.0～24.2.20、26.1.0～26.1.4です。
もう1件のAPEXの脆弱性CVE-2026-66010は、同梱されているDOMPurifyコンポーネントに影響し、CVSSスコアは6.1です。重大なAPEXの欠陥とは異なり、悪用にはユーザー操作が必要です。管理者はすべてのパッチを一律に扱うのではなく、攻撃ごとの前提条件を評価する必要があることがわかります。
Oracle Essbaseには38件のパッチが提供され、そのうち14件は認証なしでリモートから悪用される可能性のある脆弱性への対処です。CVE-2026-91637、CVE-2026-91638、CVE-2026-91658、CVE-2026-91663の4件のセキュリティ脆弱性はCVSSスコアが9.9で、バージョン21.8.3.0.0に影響します。
これらの欠陥は、低い権限があれば悪用でき、ユーザー操作は不要です。攻撃経路にはHTTPやT3/IIOPが使われ、Oracleは機密性、完全性、可用性への影響がいずれも高いとしています。さらに、CVE-2026-91665のスコアは9.8で、TCP経由で認証なしのネットワーク攻撃が可能です。
Oracle Autonomous Health Frameworkにも5件のパッチが提供されました。OpenSSLに関連するCVE-2026-75803の影響はスコア9.1で、バージョン26.3～26.8が対象です。同じCVEでも、製品によって深刻度の評価が異なることがわかります。
セキュリティ担当者は、自社で運用しているバージョンをOracleの影響対象製品の一覧と照合し、該当するリスクマトリックスを一つずつ確認する必要があります。なお、1,295という数字はセキュリティパッチの件数であり、固有の脆弱性の数とは限りません。Oracleによると、一つのCVEが複数の製品マトリックスに登場することがあります。
Oracleは、できるだけ早くパッチを適用するよう推奨しています。暫定的な対策としては、悪用に必要なプロトコルのブロックや、不要な権限・パッケージへのアクセスの削除などが考えられます。ただし、これらの措置はアプリケーションの動作に支障をきたす可能性があり、本番環境以外での検証も必要です。しかも、根本的な脆弱性は解消されません。
過去のアップデートを見送ってきた組織は、以前のアドバイザリも確認すべきです。サポート対象外のリリースは、これらの脆弱性についてテストされていません。ただしOracleは、古いバージョンも影響を受ける可能性があると警告しています。引き続きセキュリティパッチを入手できるよう、サポート対象のリリースへのアップグレードを推奨しています。
MTTRを21分短縮し、影響が出る前にサイバー脅威を阻止します。ANY.RUNのサンドボックスをSOCに統合。
サイバーセキュリティニュース購読
翻訳元: https://gbhackers.com/oracle-releases-1295-security-patches/
