El INCIBE-CERT ha alertado de 1.295 parches de Oracle que afectan a base de datos, Java y MySQL e incluyen fallos críticos.
EN 30 SEGUNDOS
- ¿Qué ha ocurrido? El INCIBE-CERT recoge el Critical Patch Update de octubre de 2026 de Oracle, con 1.295 nuevos parches de seguridad para sus principales familias de producto.
- ¿Dónde y cuándo? Aviso INCIBE-2026-763, publicado el miercoles 21 de octubre de 2026 a las 08:10 horas.
- ¿Qué resultado? Cinco vulnerabilidades con puntuación CVSS 3.1 de 10,0 y una de 9,8 en E-Business Suite, SOA Suite, Access Manager y Database Server.
El alcance del Critical Patch Update de octubre
Oracle ha publicado 1.295 nuevos parches de seguridad dentro de su Critical Patch Update de octubre. La actualización alcanza a cinco familias de producto: Oracle Database, Oracle E-Business Suite, Oracle Fusion Middleware, Java y MySQL. La compañía mantiene así su cadencia trimestral de correcciones, con cuatro ciclos al año.
El aviso, registrado con el identificador INCIBE-2026-763, fue publicado el miercoles 21 de octubre de 2026 a las 08:10 horas. El INCIBE-CERT —el equipo de respuesta ante incidentes del INCIBE, el organismo público que gestiona la ciberseguridad de empresas y ciudadanos— recomienda consultar la matriz oficial de disponibilidad de parches para identificar los productos y versiones instalados, aplicar sin demora las actualizaciones y mantenerse en versiones con soporte activo.
Los cinco CVE críticos que exigen una actualización inmediata
Entre las vulnerabilidades abordadas hay fallos con puntuación CVSS 3.1 de 10,0, el máximo de la escala, que permiten a un atacante remoto sin autenticar comprometer productos accesibles por red. El primero de ellos es CVE-2026-101809, en el componente Workflow Notification Mailer de Oracle E-Business Suite. Se explota por HTTP sin credenciales y afecta a las versiones 12.2.3 a 12.2.15.
Los otros dos fallos de máxima severidad se concentran en Oracle SOA Suite. Se trata de CVE-2026-91216 y CVE-2026-91221, ambos con CVSS 3.1 de 10,0. Un atacante sin autenticar con acceso de red a través de los protocolos T3 o IIOP podría comprometer el producto. Las versiones afectadas son la 12.2.1.4.0 y la 14.1.2.0.0.
Oracle Access Manager suma su propio fallo crítico: CVE-2026-87337, también de 10,0, explotable remotamente por HTTP sin autenticación en las versiones 12.2.1.4.0 y 14.1.2.1.0. A la lista se añade CVE-2026-75803, en el componente OpenSSL de Oracle Database Server, con 9,8 de puntuación y explotación remota sin autenticación mediante TLS sobre las versiones 19.3 a 19.32 y 23.4.0 a 23.26.3.
De los 1.295 parches publicados por Oracle, cinco alcanzan la puntuación crítica de 10,0 y uno se queda en 9,8: son los que INCIBE-CERT marca como prioritarios.
La matriz de riesgo de Oracle recoge esos cinco CVE prioritarios y el detalle completo de productos, versiones y parches aplicables. En el campo de explotación, los cinco aparecen marcados como «No», lo que indica que no consta explotación activa conocida en el momento de la publicación. Esa circunstancia no exime de aplicar las actualizaciones: la ventana entre la publicación de un parche y su aprovechamiento por parte de grupos de ransomware se mide en días.
El panorama de la ciberseguridad
Las familias afectadas no son menores. Oracle Database sostiene sistemas de registro en administraciones públicas, banca y aseguradoras; Fusion Middleware y SOA Suite articulan la integración entre aplicaciones críticas; y Java sigue presente en una enorme base de sistemas corporativos. Un fallo de 10,0 en cualquiera de esas capas otorga a un atacante no autenticado una vía directa hacia datos y procesos de negocio.
Los datos del propio aviso permiten dimensionar el trabajo: 1.295 parches en un solo ciclo trimestral, de los cuales cinco llegan al máximo de la escala y uno se sitúa en 9,8. El INCIBE-CERT mantiene un catálogo público de alertas tempranas, con el CCN-CERT como canal de referencia paralelo para las infraestructuras críticas y las administraciones públicas. La combinación de ambos canales es la que permite a un responsable de sistemas saber, en horas, si su versión está expuesta.
La proyección es inmediata. Oracle mantiene su calendario de cuatro Critical Patch Update al año, de modo que el siguiente ciclo llegará en enero de 2027 y volverá a exigir revisión de inventario. Mientras tanto, la recomendación del INCIBE-CERT es clara: identificar versiones, aplicar los parches sin demora y no operar sobre productos sin soporte activo. Las organizaciones que dejen pasar este ciclo asumirán un riesgo conocido, documentado y evitable.
