Бюллетень Oracle cpuoct2026 от 20 октября 2026 года закрывает 29 уязвимостей в Oracle WebLogic Server и Oracle WebLogic Server Proxy Plug-in. Все они эксплуатируются по сети, учётные данные не требуются. Оценки проблем компонента Core лежат в диапазоне от 7.3 до 9.8 по CVSS 3.1. Успешная атака даёт захват сервера приложений, чтение и изменение критичных данных, а также отказ в обслуживании. Затронуты WebLogic Server 12.2.1.4.0, 14.1.1.0.0, 14.1.2.0.0 и 15.1.1.0.0. Для прокси-плагина Oracle указывает 12.2.1.4.0, 14.1.1.0.0 и 14.1.2.0.0.
Ядро WebLogic, прокси-плагин и сторонние библиотеки
Четыре записи касаются компонента Core. Оценку 9.8 получает CVE-2026-83399: доступ по T3 и IIOP без аутентификации, итог - полный захват сервера. T3 - собственный протокол удалённых вызовов Oracle, IIOP - стандартный протокол взаимодействия объектов CORBA. Такую же оценку 9.8 несёт вторая ошибка ядра, на этот раз с доступом по HTTP. Третья даёт 9.1 и позволяет читать и изменять данные. Четвёртая ограничивается 7.3 через TLS и частичным отказом в обслуживании.
Две записи относятся к прокси-плагину для сторонних веб-серверов, обе с оценкой 8.7. Одну из них, CVE-2026-83379, Oracle помечает сменой области действия (scope change): атака на плагин затрагивает и соседние продукты. Доступ идёт по HTTP без учётных данных, сложность эксплуатации высокая. Сведений об эксплуатации в реальных атаках ни в бюллетене, ни в записях CVE нет.
Сторонние библиотеки в дистрибутиве
Шестнадцать записей приходятся на Spring Framework. Максимальная оценка 8.1 у небезопасной десериализации в конвертерах сообщений JMS: объекты из потока данных создаются без проверки класса. Два случая межсайтового скриптинга связаны с экранированием в служебных классах и с тегами форм JSP. Две ошибки с оценкой 7.5 ведут к отказу в обслуживании: через выражения SpEL (язык выражений Spring) и через версионированные статические ресурсы. Исправления вышли в Spring Framework 7.0.7.1, 6.2.18.1, 6.1.28 и 5.3.49, Oracle включила их в обновление.
Две записи касаются Bouncy Castle, обе с оценкой 8.7 по CVSS 4.0. Первая - пропуск финального тега целостности при расшифровке OpenPGP в режиме AEAD (аутентифицированное шифрование), если данные разбиты на блоки. Вторая - неограниченная рекурсия в разборщике OER (правила кодирования ASN.1) на самоссылающейся схеме IEEE 1609.2. Исправления вышли в сборках 1.85, в ветке LTS (расширенная поддержка) 2.73.12, в bcpg-fips 1.0.13, 2.0.13, 2.1.13 и bcutil-fips 2.0.7, 2.1.7.
Ещё пять записей закрывают менее заметные сторонние компоненты. Log4j API до 2.25.5 и ветка 2.26.0 некорректно кодируют бесконечности и нечисловые значения с плавающей точкой при сериализации сообщения в JSON, из-за чего документ перестаёт соответствовать RFC 8259 и ломает приём журналов на стороне сборщика. Eclipse Parsson до 1.1.8 не ограничивал объём разбираемого документа, версия 1.1.8 вводит предел в 15 миллионов символов. Jakarta Mail до 2.0.2 допускает внедрение команд SMTP через управляющие символы перевода строки. Apache HTTP Server 2.4.55-2.4.57 зависает при HTTP/2 с начальным размером окна 0 и исчерпывает рабочие потоки, исправление - 2.4.58.
Патчи Oracle выпустила 20 октября 2026 года в рамках критического обновления cpuoct2026. Новых номеров версий WebLogic бюллетень не вводит: исправления накатываются поверх поддерживаемых релизов 12.2.1.4.0, 14.1.1.0.0, 14.1.2.0.0 и 15.1.1.0.0. Прокси-плагин обновляется тем же пакетом. Отдельные исправления сторонних библиотек нужны тем, кто собирает приложения на их основе напрямую.
До установки обновления закройте порты T3 и IIOP от внешних сегментов сети: критичные ошибки ядра используют эти протоколы либо HTTP. Ограничьте доступ к консоли администратора по спискам адресов. После установки патча сверьте версии Spring Framework, Bouncy Castle, Log4j API, Parsson, Jakarta Mail и Apache HTTP Server в собственных сборках: они могут поставляться отдельно от WebLogic.
Две ошибки с оценкой 9.8 при сетевом доступе без аутентификации дают полный контроль над сервером приложений. Проблемы с удалённым выполнением кода через T3 и IIOP повторяются в бюллетенях WebLogic регулярно. Прокси-плагин добавляет смену области действия, поэтому закрывать нужно не только сам сервер приложений.
Ссылки
