Девять уязвимостей в Oracle Database Server позволяют читать и изменять данные, обходить политику безопасности и вызывать отказ в обслуживании. Затронуты RDBMS (ядро базы данных), Oracle Net Services (сетевой протокол доступа к базе), Oracle OLAP (модуль аналитической обработки), Oracle SQLcl (клиент командной строки) и Java VM внутри базы. Уязвимы три поддерживаемые ветки продукта: 19, 21 и 23. Описание собрано в бюллетене Oracle Critical Patch Update за октябрь 2026 года.
Девять уязвимостей с оценками до 8.8 и разными условиями атаки
Наибольшая оценка по CVSS (система оценки опасности уязвимостей) - 8.8 из 10. Такую оценку получили две уязвимости: CVE-2026-91499 в RDBMS и CVE-2026-91563 в Oracle OLAP. Атака идёт по сети через Oracle Net, учётная запись нужна с низкими правами, участие пользователя не требуется. В первом случае достаточно привилегии DBMS_VECTOR (роль для работы с векторным поиском), во втором - DBMS_AW (роль для аналитических вычислений). Успех даёт контроль над компонентом, включая чтение и изменение данных.
Доступ к данным через RDBMS и VPD
Уязвимость в VPD (механизм, который скрывает часть строк таблиц от отдельных пользователей) оценивается в 8.1 из 10. Атакующему хватает права Create Table (создание таблиц) и сетевого доступа через Oracle Net. В результате он может создавать, изменять и удалять критичные данные, а также читать их в обход политики доступа. Участие пользователя не нужно, поэтому обход ограничений происходит без действий со стороны владельца данных.
Ещё одна уязвимость RDBMS с оценкой 7.7 из 10 требует права Create Session (открытие сессии) и доступа по сети. Влияние выходит за пределы самого компонента: Oracle отдельно отмечает смену области действия, то есть риск распространяется и на связанные продукты. Итог атаки - доступ ко всем данным, которые видны RDBMS.
Третья уязвимость ядра оценивается в 6.5 из 10 и касается только ветки 23. Она открывается с низкими правами через HTTP и даёт доступ ко всему набору данных, доступному RDBMS. Участие пользователя здесь тоже не требуется.
Отказ в обслуживании и сбой Java VM
Столько же, 6.5 из 10, у уязвимости, для которой учётная запись не нужна вовсе. Атака возможна из соседнего сегмента сети, то есть с узла, подключённого к тому же физическому сегменту, что и оборудование с базой. Результат - зависание или повторяющиеся падения RDBMS, то есть полный отказ в обслуживании.
Единственная уязвимость в Oracle Net Services оценивается в 4.4 из 10. Для неё нужен вход на хост с базой и высокие права, поэтому атака идёт локально, а не по сети. Последствие - зависание или повторяющиеся падения самого компонента Net Services.
Java VM получила оценку 6.3 из 10. Атака идёт по сети через SOCKS5 (протокол проксирования), дополнительных привилегий не требуется, но сложность выше, чем у остальных проблем. Влияние снова выходит за пределы компонента: успешная атака даёт создание, изменение и удаление критичных данных.
Замыкает список уязвимость RDBMS с оценкой 2.7 из 10. Права нужны высокие: Query Optimizer (доступ к оптимизатору запросов). Через Oracle Net атакующий получает чтение только части данных.
Практическая значимость высока для баз, доступных из сети. Восемь уязвимостей из девяти требуют сетевого доступа или доступа из соседнего сегмента, а для шести достаточно учётной записи с низкими правами. При этом одна из проблем закрывается только входом на хост, а ещё одна открывается без учётных данных.
Ссылки
