最優先の脆弱性は4つのOracle製品に影響し、そのほか多くの製品でも深刻な欠陥が修正されました。
Oracleは、10月のCritical Patch Update Advisoryで、1295件のセキュリティ脆弱性にパッチを適用しました。このうち6件は、CVSS 3.1で最高値となる10.0と評価されています。
同社の主力製品であるOracle E-Business Suiteにも、こうした脆弱性が1件ありました。CVE-2026-101809として追跡されています。HTTP経由でネットワークにアクセスできる未認証の攻撃者であれば、同スイートのWorkflowコンポーネントにあるワークフロー通知メーラーを侵害でき、Workflowを乗っ取られるおそれがあります。ほかの製品にも影響が及ぶ可能性があります。この欠陥は、Workflowのバージョン12.2.3から12.2.15までが対象です。
Oracle Fusion Middlewareに含まれるOracle SOA Suiteでは、10.0と評価されたバグが3件見つかりました。
1件目のCVE-2026-91231は、Adaptersコンポーネントに存在します。未認証の攻撃者がOracle SOA Suiteを侵害して乗っ取れるようになり、連携する製品にも影響が及ぶ可能性があります。
残る2件は、Oracle SOA SuiteのFabric Layerコンポーネントにあります。CVE-2026-91216とCVE-2026-91221です。
Oracleによると、いずれも容易に悪用できる脆弱性です。T3またはIIOPプロトコル経由でネットワークにアクセスできる未認証の攻撃者が、Oracle SOA Suiteを侵害できます。ほかの製品にも影響する可能性があります。サポート対象のバージョン12.2.1.4.0と14.1.2.0.0に、これらのバグが存在します。
ニュースレター
CSOニュースレターでセキュリティ対策を万全に
最新の脅威、リスク、セキュリティ戦略に関する重要な情報で、企業を守りましょう
Oracle Fusion Middlewareの別のコンポーネントにも、10.0と評価された脆弱性があります。Oracle Access Managerの欠陥（CVE-2026-87337）では、HTTP経由でネットワークにアクセスできる未認証の攻撃者に侵害されるおそれがあります。この脆弱性を悪用されると、Oracle Access Managerのバージョン12.2.1.4.0と14.1.2.1.0で、重要なデータが不正に作成、削除、改ざんされる可能性があります。
今回のレポートで最後の「満点」脆弱性は、Oracle JD EdwardsのJD Edwards EnterpriseOne Orchestratorにあります。CVE-2026-91299として追跡されています。HTTP経由でネットワークにアクセスできる未認証の攻撃者が、バージョン9.2.0.0から9.2.26.5までのOrchestratorを侵害し、乗っ取ることができます。
この記事は、もともとCIOに掲載されたものです。
