Fusion Middleware от Oracle содержит уязвимости в WebLogic Server, SOA Suite, Data Integrator, Identity Manager, Access Manager, WebCenter Content и HTTP Server. Oracle выпустила октябрьский пакет исправлений. Часть проблем позволяет удалённому атакующему без учётных данных выполнить код, получить доступ к данным или вызвать отказ в обслуживании. Другая часть требует учётной записи или действия пользователя. Затронуты поддерживаемые ветки Fusion Middleware, а также линейки Helidon 3.x и 4.x.
Октябрьский CPU Oracle для Fusion Middleware
Октябрьский Critical Patch Update (CPU, квартальный набор исправлений Oracle) охватывает несколько десятков CVE. Oracle подтвердила наличие проблем в перечисленных продуктах и выпустила патчи. Максимальная оценка в наборе - 10.0 из 10; её получила уязвимость CVE-2026-87337 в Oracle Access Manager. Атака идёт по сети через HTTP, учётные данные не нужны, участие пользователя не требуется. Проблема затрагивает механизм аутентификации и при выходе за границы продукта может сказаться на смежных системах.
В WebLogic Server отдельно отмечена CVE-2026-83399 с оценкой 9.8 из 10. Она затрагивает ядро сервера и доступна по сети через протоколы T3 и IIOP; T3 и IIOP служат для удалённого взаимодействия с WebLogic. Учётные данные для атаки не нужны. Успешная эксплуатация ведёт к захвату сервера приложений.
Набор не сводится к одной ошибке. В бюллетене перечислены небезопасная десериализация, то есть преобразование внешних данных в объекты без проверки типа, ошибки проверки сертификатов, отсутствие аутентификации для функций управления, переполнения буфера и чтения за границами памяти, утечки ресурсов, подделка запросов на стороне сервера и ошибки в сторонних библиотеках. Среди них Bouncy Castle, криптографическая библиотека Java, и Jackson, библиотека разбора JSON. Часть уязвимостей находится в сетевых протоколах HTTP, HTTP/2, SOAP, T3, IIOP и LDAP.
В списке затронутых продуктов Oracle WebLogic Server, SOA Suite, Service Bus, Data Integrator, Identity Manager и Identity Manager Connector, Access Manager, WebCenter Content и WebCenter Sites, HTTP Server, Coherence, Outside In Technology, Managed File Transfer и Helidon. Для Fusion Middleware указаны ветки 12.2.1.4.0, 14.1.1.0.0, 14.1.2.0.0, 14.1.2.1.0, 15.1.1.0.0 и 27.0.0; для Helidon - 3.0.0-3.2.21 и 4.0.0-4.5.5. В отдельных продуктах затронуты более узкие наборы версий, поэтому сверять нужно не только линейку, но и конкретную сборку.
Сведений об эксплуатации этих уязвимостей в реальных атаках в уведомлении не приведено. Публичного рабочего эксплойта на момент публикации также не описано. Публикация бюллетеня означает раскрытие технических деталей, а не подтверждение атак. При этом часть проблем не требует учётных данных и доступна по сети, поэтому внешние проверки и попытки подбора запросов возможны вскоре после раскрытия.
Исправления вышли в октябрьском CPU 2026 года. Oracle не называет единую исправленную сборку для всех продуктов: номер патча зависит от продукта и ветки. Точный номер исправления и порядок установки нужно смотреть в My Oracle Support по идентификатору октябрьского бюллетеня. Для части компонентов Oracle выпускает отдельные квартальные обновления, поэтому администратору нужно проверить и свой продукт, и его ветку.
Oracle в этом уведомлении не описывает обходных мер для всего набора. Основной путь - установка патча из октябрьского CPU и отслеживание обновлений бюллетеня. До установки стоит определить, какие из перечисленных продуктов и веток используются, и сверить их с таблицей затронутых версий. Если продукт получает исправления через отдельный бюллетень Oracle, применять нужно его.
Набор затрагивает ключевые компоненты Fusion Middleware, включая сервер приложений WebLogic, систему аутентификации Access Manager и интеграционную платформу SOA Suite. Часть уязвимостей не требует учётных данных и даёт захват сервера, поэтому проверку версий и установку октябрьского CPU нельзя откладывать до следующего квартала.
Ссылки
