Oracle、2026年10月のCPUで1,200件超の脆弱性を修正

Oracleは2026年10月のクリティカルパッチアップデート(CPU)を公開しました。今回のアップデートでは、数十の製品にわたって新たに1,295件の修正が提供されます。

Tenableの分析によると、今回のCPUは1,209件の固有のCVEに対処しています。そのうち95件は重大度が「クリティカル」の脆弱性です。

Tenableによれば、439件のCVEは重大度「高」、582件は「中」と評価されています。

最も多くの修正を受けたのはOracle Fusion Middlewareで、206件に上ります。うち134件は、認証なしでリモートから悪用できる脆弱性です。

このほか、E-Business Suite(194件)、Siebel CRM(122件)、Communications(110件)、PeopleSoft(109件)、JD Edwards(102件)、MySQL(98件)、Java SE(55件)、Supply Chain(50件)にも、多数のパッチが提供されました。

さらに、Oracle Essbase、REST Data Services、Analytics、Systems、Database Server、Construction and Engineering、Enterprise Manager、GoldenGate、Trusted Answer Search、Utilities Applications、Secure Backup、Virtualization、Autonomous Health Framework、Financial Services Applications、Retail Applications、TimesTen In-Memory Database、Healthcare Applications、Hospitality Applications、Commerce、APEX、Application Testing Suite、Global Lifecycle Management、NoSQL Database、SQL Developerにもパッチが適用されています。 

Oracleは、これらの脆弱性のいずれについても、実際に悪用されているとは示していません。ただし同社は、自社製品を狙った悪用の試みに関する報告を定期的に受けていると、顧客に改めて注意を促しています。

OracleはCPUの発表から1日後の水曜日に、CVE-2026-91403に関する個別のアドバイザリとセキュリティアラートを公開しました。これは、eMudhraの弱い鍵に関するインシデントに対する、Java(およびOracle)の対応です。

Oracleは、11月17日と12月15日にクリティカルセキュリティパッチアップデート(CSPU)を公開する予定です。この種のアップデートは、毎月第3火曜日に提供されます。次回のCPUは2027年1月19日に予定されています。