Oracle-ren segurtasun-eguneratze hiruhilekoa- 2026eko urtarrila

Argitalpen-data: 

Laburpen exekutiboa

Oraclek 2026ko urtarrilean bere hiruhilekoko Critical Patch Update-a (CPU) argitaratu du, guztira 158 ahultasun eta ahutasun identifikatu direla jakinarazi du. Azterketa ahultasun kritikoetan (CVSS ≥ 9.0) zentratzen da, 2025 eta 2026ko CVEekin lotuta daudenetan, zeinek arrisku handia baitakarte Oracle sistemetako segurtasunerako. Ahultasun kritikoen artean, Oracleko hainbat produktutan eraginak identifikatu dira, besteak beste: Oracle Commerce Guided Search, Oracle Communications Operations Monitor, Oracle Banking Branch, Oracle HTTP Server, Oracle Data Integrator, Oracle Business Process Management Suite, Oracle WebLogic Server Proxy Plug-in, MySQL Server eta Oracle Agile Product Lifecycle Management for Process. Ahultasun eta ahutasun hauek aplikazio eta zerbitzu sorta zabal bati eragiten diote, horrek berehalako arreta behar dela azpimarratzen du. Jakinarazitako ahultasun kritikoetako batzuk autentifikaziorik gabe ustiatu daitezke, horrek bereziki arriskutsuak bihurtzen ditu. Ahultasun horiek arrakastaz ustiatuz gero, kaltetutako sistemak erabat kontrolpean hartzea posible da, bai eta datu kritikoak baimenik gabe sortu, ezabatu edo aldatzea ere. Arrisku horiek arintzeko, dagokion CPUa aplikatzea gomendatzen da; honek ahultasun eta ahutasun horiek zuzentzeko adabakiak eta eguneraketak barne hartzen ditu. Neurri horiek garaiz ezartzea funtsezkoa da datuen osotasuna eta konfidentzialtasuna babesteko, baita Oracle zerbitzuen jarraitutasun operatiboa bermatzeko ere.

Azterketa teknikoa

2025, 2026ko CVE kalteberatasun kritikoen (CVSS >= 9.0) xehetasunak hauek dira:

  • CVE-2025-66516: Oracle Commerce produktuan (osagai: Workbench (Apache Tika)) dagoen segurtasun ahultasun bat. Eragindako bertsioa 11.4.0 da. Erraz ustiatu daitekeen ahultasun honek HTTP bidez sareko sarbidea duen autentifikatu gabeko erasotzaile batek Oracle Commerce Guided Search konprometitzeko aukera ematen du. Ahultasuna Oracle Commerce Guided Search-en dagoen arren, erasoei eragin handia izan dezakete beste produktuen gainean (eskopoa aldatu). Ahultasun honen aurkako erasoei arrakasta izateak Oracle Commerce Guided Search-en kontrola hartzea ekar dezake.
    • Larritasuna: Kritikoa
    • CVSS: 10.0
    • Produktua: Oracle Commerce Guided Search
    • Osagaia: Workbench (Apache Tika)
    • Kaltetutako bertsioak: 11
    • Autentikaziorik gabe: Bai
    • Esplotazio-erraztasuna: Erraza
    • Inpaktuak: Konfidentzialtasuna, Osotasuna, Erabilgarritasuna
  • CVE-2026-21962: Oracle HTTP Server, Oracle Weblogic Server Proxy Plug-in produktuan segurtasun ahultasun bat dago, Oracle Fusion Middleware (osagai: Weblogic Server Proxy Plug-in for Apache HTTP Server, Weblogic Server Proxy Plug-in for IIS). Eraginpeko bertsio babestuak 12.2.1.4.0, 14.1.1.0.0 eta 14.1.2.0.0 dira. Erraz ustiatu daitekeen ahultasun honek HTTP bidez sarea duten autentifikatu gabeko erasotzaileei aukera ematen die Oracle HTTP Server, Oracle Weblogic Server Proxy Plug-in konprometitzeko. Ahultasuna Oracle HTTP Server, Oracle Weblogic Server Proxy Plug-in-en dagoen arren, erasoei eragin handia izan dezakete beste produktuen gainean (eskopoa aldatu). Ahultasun honen aurkako erasoei esker, baimenik gabeko sorkuntza, ezabatze edo aldaketa sarbidea izan daiteke datu kritikoetarako edo Oracle HTTP Server, Oracle Weblogic Server Proxy Plug-in bidez eskuragarri dauden datu guztietarako, baita datu kritikoetarako baimenik gabeko sarbidea edo Oracle HTTP Server, Oracle Weblogic Server Proxy Plug-in bidez eskuragarri dauden datu guztietarako sarbide osoa ere. Oharrak: Weblogic Server Proxy Plug-in for IIS-erako eraginpeko bertsioa 12.2.1.4.0 da bakarrik.
    • Larritasuna: Kritikoa
    • CVSS: 10.0
    • Produktua: Oracle HTTP Server, Oracle Weblogic Server Proxy Plug-in
    • Osagaia: Weblogic Server Proxy Plug-in for Apache HTTP Server, Weblogic Server Proxy Plug-in for IIS
    • Kaltetutako bertsioak: 12
    • Autentikaziorik gabe: Bai
    • Esplotazio-erraztasuna: Erraza
    • Inpaktuak: Konfidentzialtasuna, Osotasuna
  • CVE-2025-49844: Oracle Communications-en Oracle Communications Operations Monitor produktuan dagoen ahultasun bat (osagai: Infrastructure (valkey)). Eraginpeko bertsioa 5.2 da. Erraz ustiatzeko ahultasunak HTTP bidez sareko sarbidea duen pribilegio baxuko erasotzaile bati Oracle Communications Operations Monitor konprometitzeko aukera ematen dio. Ahultasuna Oracle Communications Operations Monitor-en dagoen arren, erasoei eragin handia izan dezakete beste produktutan (eskopoa aldatu). Ahultasun honen aurkako erasoei arrakasta izateak Oracle Communications Operations Monitor-en kontrola hartzea ekar dezake.
    • Larritasuna: Kritikoa
    • CVSS: 9.9
    • Produktua: Oracle Communications Operations Monitor
    • Osagaia: Infrastructure (valkey)
    • Kaltetutako bertsioak: 5
    • Autentikaziorik gabe: Ez
    • Esplotazio-erraztasuna: Erraza
    • Inpaktuak: Konfidentzialtasuna, Osotasuna, Erabilgarritasuna
  • CVE-2025-4949: Oracle Fusion Middleware produktuko Oracle Data Integrator-en segurtasun ahultasuna (osagai: Security (Eclipse JGit)). Eragindako bertsioa 14.1.2.0.0 da. Erraz ustiatu daitekeen ahultasun honek HTTP bidez sareko sarbidea duen autentifikatu gabeko erasotzaile bati Oracle Data Integrator konprometitzeko aukera ematen dio. Ahultasun honen aurkako eraso arrakastatsuak Oracle Data Integrator-en kontrola hartzea ekar dezake.
    • Larritasuna: Kritikoa
    • CVSS: 9.8
    • Produktua: Oracle Data Integrator
    • Osagaia: Security (Eclipse JGit)
    • Kaltetutako bertsioak: 14
    • Autentikaziorik gabe: Bai
    • Esplotazio-erraztasuna: Erraza
    • Inpaktuak: Konfidentzialtasuna, Osotasuna, Erabilgarritasuna
  • CVE-2025-54988: Oracle Fusion Middleware produktuko Oracle Business Process Management Suite-n segurtasun ahultasuna (osagai: Oracle Business Rules (Apache Commons Compress)). Eraginpeko bertsioa 14.1.2.0.0 da. Erraz ustiatu daitekeen ahultasun honek HTTP bidez sareko sarbidea duen autentifikatu gabeko erasotzaile bati Oracle Business Process Management Suite konprometitzeko aukera ematen dio. Ahultasun honen eraso arrakastatsuak Oracle Business Process Management Suite-ren kontrola hartzea ekar dezake.
    • Larritasuna: Kritikoa
    • CVSS: 9.8
    • Produktua: Oracle Business Process Management Suite
    • Osagaia: Oracle Business Rules (Apache Commons Compress)
    • Kaltetutako bertsioak: 14
    • Autentikaziorik gabe: Bai
    • Esplotazio-erraztasuna: Erraza
    • Inpaktuak: Konfidentzialtasuna, Osotasuna, Erabilgarritasuna
  • CVE-2025-6965: MySQL Server produktuan Oracle MySQL-en (osagai: Server: Docker Images (SQLite)) segurtasun ahultasun bat. Eragindako bertsio onartuak 8.4.0-8.4.7 dira. Erraz ustiatu daitekeen ahultasun honek sarbide-sareko hainbat protokolo bidez sarbide ezautua duen erasotzaile batek MySQL Server-a konprometitzeko aukera ematen du. Ahultasun honen eraso arrakastatsuak MySQL Server-aren kontrola hartzera eraman dezakete. Oharrak: Ahultasun honek MySQL server docker irudiei aplikatzen zaie eta SQLite ez da zuzenean MySQL server-etik erabiltzen.
    • Larritasuna: Kritikoa
    • CVSS: 9.8
    • Produktua: MySQL Server
    • Osagaia: Server: Docker Images (SQLite)
    • Kaltetutako bertsioak: 8
    • Autentikaziorik gabe: Bai
    • Esplotazio-erraztasuna: Erraza
    • Inpaktuak: Konfidentzialtasuna, Osotasuna, Erabilgarritasuna
  • CVE-2026-21969: Oracle Supply Chain-en Oracle Agile Product Lifecycle Management for Process produktuan segurtasun ahultasun bat. Eraginpeko bertsioa 6.2.4 da. Erraz ustiatu daitekeen ahultasun honek HTTP bidez sareko sarbidea duen autentifikatu gabeko erasotzaile batek Oracle Agile Product Lifecycle Management for Process konprometitzeko aukera ematen du. Ahultasun honen aurkako eraso arrakastatsuak Oracle Agile Product Lifecycle Management for Process-en kontrola hartzera eraman dezakete.
    • Larritasuna: Kritikoa
    • CVSS: 9.8
    • Produktua: Oracle Agile Product Lifecycle Management for Process
    • Osagaia: Supplier Portal
    • Kaltetutako bertsioak: 6
    • Autentikaziorik gabe: Bai
    • Esplotazio-erraztasuna: Erraza
    • Inpaktuak: Konfidentzialtasuna, Osotasuna, Erabilgarritasuna
  • CVE-2025-49796: Oracle Financial Services Applications produktuan, Oracle Banking Branch produktuan, segurtasun ahultasun bat dago (osagai: Reports (libxml2)). Eraginpean dauden bertsio lagunduak 14.5.0.0.0, 14.6.0.0.0, 14.7.0.0.0 eta 14.8.0.0.0 dira. Erraz ustiatu daitekeen ahultasun honek HTTP bidezko sare-sarrera duen autentifikatu gabeko erasotzaile bati Oracle Banking Branch konprometitzeko aukera ematen dio. Ahultasun honen aurkako eraso arrakastatsuak datu kritikoen edo Oracle Banking Branch-en eskuragarri dauden datu guztien baimenik gabeko sorrera, ezabatze edo aldaketa eragin dezake, baita Oracle Banking Branch-en gelditzea edo maiz errepikakorra den akats bat (DOS osoa) eragiteko baimenik gabekoa ere.
    • Larritasuna: Kritikoa
    • CVSS: 9.1
    • Produktua: Oracle Banking Branch
    • Osagaia: Reports (libxml2)
    • Kaltetutako bertsioak: 14
    • Autentikaziorik gabe: Bai
    • Esplotazio-erraztasuna: Erraza
    • Inpaktuak: Konfidentzialtasuna, Osotasuna, Erabilgarritasuna
  • CVE-2025-23048: Oracle Fusion Middleware produktuko Oracle HTTP Server-en segurtasun ahultasuna (osagai: SSL Module (Apache HTTP Server)). Eragindako bertsioa 14.1.2.0.0 da. Erraz ustiatu daitekeen ahultasun honek TLS bidezko sareko sarbidea duen autentifikatu gabeko erasotzaile bati Oracle HTTP Server-a konprometitzeko aukera ematen dio. Ahultasun honen aurkako eraso arrakastatsuak datu kritikoen baimenik gabeko sorrera, ezabatze edo aldaketa eragin dezake, baita Oracle HTTP Server-era sar daitezkeen datu guztien baimenik gabeko sarbidea edo datu guztietara sarbide osoa ere.
    • Larritasuna: Kritikoa
    • CVSS: 9.1
    • Produktua: Oracle HTTP Server
    • Osagaia: SSL Module (Apache HTTP Server)
    • Kaltetutako bertsioak: 14
    • Autentikaziorik gabe: Bai
    • Esplotazio-erraztasuna: Erraza
    • Inpaktuak: Konfidentzialtasuna, Osotasuna

Arintzea/Konponbidea

Ahultasun kritiko hauek saihesteko, gomendagarria da Oracle-ren Critical Patch Update (CPU) dagokiona aplikatzea kaltetutako sistema guztietan.

Erreferentzia gehigarriak

    Partekatu