Плановый выпуск исправлений Oracle (Critical Patch Update) за октябрь 2026 закрывает 98 уязвимостей, из них 29 эксплуатируются по сети без учётных данных. Максимальная базовая оценка достигает 9,8 по CVSS 3.1. В линейке MySQL затронуты MySQL Server, MySQL Cluster, MySQL Enterprise Backup, MySQL Connectors (Connector/J и Connector/Python), MySQL Router и MySQL Workbench. Часть проблем приходит из встроенных библиотек OpenSSL и curl, поэтому обновления нужны и на хостах, где сам MySQL не установлен.
Состав выпуска и затронутые компоненты MySQL
Основная масса ошибок сосредоточена в серверной части. Отдельные исправления получают оптимизатор запросов, подсистема репликации, плагин групповой репликации, разбор JSON и клиентские утилиты. Часть уязвимостей ведёт к зависанию или повторяемому сбою, то есть к отказу в обслуживании. Другие открывают путь к чтению и изменению данных, включая полный захват экземпляра.
Привилегии нужны не везде. Ошибка в разборе JSON требует низких прав и даёт оценку 8,3 при сетевом доступе. Плагин групповой репликации атакуется из прилегающего сетевого сегмента, его оценка доходит до 8,8. Для MySQL Router указана 7,5 при сетевом векторе без аутентификации, тогда как оптимизатор уязвим только для высокопривилегированных учётных записей. Затронутые ветки MySQL Server - с 8.4.0 по 8.4.12, с 9.7.0 по 9.7.3 и с 26.7.0 по 26.7.1; в MySQL Cluster к ним добавляется ветка 8.0.0-8.0.49.
Переполнение буфера в разборе CMS у OpenSSL
Уязвимость CVE-2025-15467 с оценкой 9,8 затрагивает OpenSSL 3.0, 3.3, 3.4, 3.5 и 3.6; ветки 1.1.1 и 1.0.2 не затронуты. При разборе структур CMS (формат криптографических сообщений) с шифрами с аутентификацией, например AES-GCM, длина вектора инициализации из параметров ASN.1 копируется в буфер фиксированного размера на стеке. Проверки соответствия длины нет, поэтому подготовленное сообщение вызывает переполнение буфера ещё до проверки подлинности. Ключевой материал злоумышленнику не требуется.
Последствия зависят от платформы и средств защиты компилятора. Минимум это падение процесса и отказ в обслуживании, максимум удалённое выполнение кода при сетевом векторе и без аутентификации. Уязвимы приложения, разбирающие внешний CMS или PKCS#7, в том числе S/MIME с AES-GCM и Kerberos с плагином PKINIT. Оценка вероятности эксплуатации EPSS составляет 0,52, сведения о реальных атаках в источниках отсутствуют.
Обход проверки ключа хоста при передаче SCP и SFTP в curl
Вторая проблема, CVE-2026-9547, связана с curl и libcurl. Под удар попадают приложения, которые передают данные по протоколам SCP или SFTP и используют собственный обратный вызов проверки SSH-ключа. Если сервер предъявляет ключ другого типа, чем записан для этого хоста в списке известных хостов, обратный вызов не отклоняет соединение. В результате приложение молча принимает недоверенный сервер.
Соединение с подменённым узлом открывает путь для атаки "человек посередине" и перехвата передаваемых данных. Уязвимы выпуски curl с 7.69.0 по 8.21.0, вектор сетевой, аутентификация не нужна, базовая оценка 9,8. EPSS здесь заметно ниже, чем у OpenSSL, и равен 0,003. В том же цикле curl закрывает ещё одну ошибку проверки SSH, при которой проверка пропускается при выборе протокола по умолчанию.
OpenSSL 3.6 обновляют до 3.6.1, ветку 3.5 до 3.5.5, 3.4 до 3.4.4, 3.3 до 3.3.6, 3.0 до 3.0.19. Для curl актуальная сборка 8.21.0, пакеты для Red Hat Enterprise Linux 9 и 10 опубликованы вместе с исправлениями. Продукты Oracle MySQL получают сборки в рамках Critical Patch Update за октябрь 2026, доступ к ним открыт держателям контракта Oracle Support.
На время до установки патчей сокращают число систем, разбирающих внешние CMS и PKCS#7 сообщения из недоверенных источников. Для групповой репликации ограничивают доступ к сегменту сети, в котором работает кластер. Приложениям на libcurl возвращают штатную проверку ключа хоста вместо собственного обратного вызова либо фиксируют допустимый тип ключа вручную.
29 уязвимостей из 98 эксплуатируются по сети без учётных данных, поэтому выпуск затрагивает не только серверы баз данных. Две ошибки с оценкой 9,8 находятся не в самом MySQL, а в библиотеках OpenSSL и curl, которые он использует. Сверка версий этих библиотек на хостах приложений входит в минимальный набор действий после установки обновлений.
Ссылки
