Oracle'ın ekim yama güncellemesi kimlik doğrulaması gerektirmeyen altı CVSS 10.0 açığı dahil 1.295 hatayı kapatıyor

Oracle ekim yama güncellemesinde 1.295 düzeltme yayınlandı

Oracle, Ekim 2026 Critical Patch Update'ini 20 Ekim gecesi yayınladı; bir dev.to analizi, CVE kayıtlarının ertesi gün NVD ve ulusal güvenlik açığı veritabanlarıyla eşitlendiğini belirtiyor. Üç aylık bu paket, Oracle'ın ürün ailelerindeki 1.295 güvenlik açığını ele alıyor. Altı tanesi azami CVSS v3.1 temel puanı olan 10.0'ı taşıyor ve yazıya göre altısının tamamı kimlik doğrulaması gerektirmeden uzaktan sömürülebiliyor ve hepsi scope-changed vektörleri kullanıyor; bu da etkilenen bileşenin ele geçirilmesinin kendi güvenlik yetkisi dışındaki kaynaklara sıçramasının beklendiği anlamına geliyor.

Azami önem dereceli altı güvenlik açığı

dev.to analizinde 10.0 puanlı kayıtlar şöyle sıralanıyor:

• CVE-2026-101809, Oracle E-Business Suite'in 12.2.3'ten 12.2.15'e kadar olan sürümlerindeki Workflow Notification Mailer bileşenini etkiliyor. HTTP erişimi olan kimliği doğrulanmamış bir saldırgan Workflow'un kontrolünü ele geçirebiliyor ve yazıya göre Oracle, başarılı saldırıların ek ürünlere sıçrayabileceği konusunda uyarıyor.
• CVE-2026-91216 ve CVE-2026-91221, Oracle SOA Suite'in 12.2.1.4.0 ve 14.1.2.0.0 sürümlerindeki Fabric Layer bileşenini hedefliyor ve T3 ile IIOP protokolleri üzerinden erişilebiliyor.
• CVE-2026-91231, HTTP üzerinden SOA Suite Adapters bileşenini etkiliyor.
• CVE-2026-87337, Oracle Access Manager'ın 12.2.1.4.0 ve 14.1.2.1.0 sürümlerindeki kimlik doğrulama motorunu HTTP üzerinden etkiliyor.
• CVE-2026-91299, JD Edwards EnterpriseOne Orchestrator'ın 9.2.0.0'dan 9.2.26.5'e kadar olan sürümlerini HTTP üzerinden etkiliyor.

Bir alt kademede, dört kayıt daha sakin bir ayda manşet olurdu. CVE-2026-83399 ve CVE-2026-91323 her ikisi de WebLogic Server Core'da 9.8 puan alıyor; ilki T3 ve IIOP üzerinden, ikincisi HTTP üzerinden erişilebiliyor ve her ikisi de kimliği doğrulanmamış bir ağ saldırganının sunucuyu ele geçirmesine izin veriyor. Etkilenen sürümler 12.2.1.4.0, 14.1.1.0.0, 14.1.2.0.0 ve 15.1.1.0.0. CVE-2026-101767, E-Business Suite Application Object Library'de 9.8 puan alıyor ve CVE-2026-101521, Oracle APEX'te 9.8 puan alıyor; birden fazla 24.1.x, 24.2.x ve 26.1.x sürümünü kapsıyor.

T3 ve IIOP erişilebilirliği neden aciliyeti belirliyor

dev.to yazısının ana argümanı, protokol erişiminin yama zamanlaması kadar önemli olduğu. T3 ve IIOP, WebLogic'in uzaktan yönetim ve EJB iletişimi için kullandığı kanallar. Bunlar HTTP değil: çoğu ekibin okuyabileceği biçimde web sunucusu loglarında görünmüyorlar, WAF'lar bunları nadiren inceliyor ve iç uygulma katmanının WebLogic'e geniş ölçüde erişmesine izin veren firewall kuralları sıklıkla bu protokolleri açık bırakıyor.

Güncellemenin en kritik kayıtlarından dördü — her iki 10.0 puanlı SOA Suite açığı ve her iki 9.8 puanlı WebLogic açığı — T3 veya IIOP üzerinden geliyor. Bu protokollerin yalnızca ihtiyaç duyan belirli yönetim sunucularından erişilebildiği bir ortamda, yama durumundan bağımsız olarak bu CVE'lerin tarif ettiği ağ yollarıyla sömürme mümkün değil. Tersi daha sert: T3 veya IIOP'nin geniş ölçüde açık olduğu yerde tek engel kimlik doğrulamasının olmaması ve bu da yamayı üç aylık bir kalem yerine acil bir duruma dönüştürüyor.

Scope change, kontrol kapsamını şekillendiriyor

10.0 puanlılar scope-changed vektörler taşıdığı için, kontrol altına almak yalnızca hatalı bileşeni yamalamaktan ibaret değil. SOA Suite'in ele geçirilmesi, SOA Suite'in erişebildiği her şeyi açığa çıkarır ve Fusion Middleware için bu genellikle veri kaynağı şifreleri, JMS hedefleri, keystore'lar ve domain yönetici kimlik bilgilerini içerir; olay müdahale planında hepsinin açığa çıkmış sayılması gerekiyor. Yazı ayrıca Oracle'ın danışmanlık belgesinde şirketin, bir kısmı başarılı olan kötü niyetli sömürme raporları almaya devam ettiğine dair kalıcı ifadesini yinelediğini belirtiyor.

Neden önemli

Takvim rutin; içerik değil. Yaygın olarak dağıtılmış middleware'deki kimlik doğrulaması öncesi, azami puanlı altı güvenlik açığı, derhal önceliklendirme yapılmasını hak ediyor. dev.to analizi, önce internete açık ve T3'e açık sistemlerin yamanmasını, ardından başka her yerde T3 ve IIOP'nin ağ katmanında kısıtlanmasını öneriyor; bu sıfır maliyetli kontrol, bu CVE'lerden birkağının yolunu tek seferde kapatıyor. Üç kör nokta öne çıkıyor: Oracle'ın etkilenen ürünler tablosunda yer alan ancak sabit sürüm listesi 12.2.1.4.0'dan başladığı için gözden kaçması kolay olan eski WebLogic 12.2.1.3.0 domain'leri; çoktan bitmiş entegrasyon projelerinden kalma ve hâlâ 10.0 taşıyan sistemler olarak sayılan unutulmuş SOA Suite domain'leri; ve birçok ekibin takibinde, üzerinde çalıştıkları veritabanlarının gerisinde kalan sürümlere sahip APEX kurulumları.