Октябрьский бюллетень Oracle по линейке Virtualization описывает шесть уязвимостей в компоненте Core продукта Oracle VM VirtualBox. Три из них позволяют пользователю с обычными правами получить полный контроль над VirtualBox, остальные ведут к отказу в обслуживании, а одна заодно открывает доступ к критичным данным. Затронуты ветки VirtualBox 7.2.16 и 7.2.20; в списке систем числится и Oracle Enterprise Manager for Virtualization 13.5.
Шесть CVE в компоненте Core Oracle VM VirtualBox
VirtualBox - гипервизор, то есть программа для запуска виртуальных машин на рабочей станции или сервере. Условия атаки в записях различаются. Пять из шести требуют локального входа: нужна учётная запись на машине, где работает VirtualBox, и достаточно обычных, низких прав. Исключение - CVE-2026-87322: атака идёт из смежного сетевого сегмента, к которому подключён хост, зато с высокими привилегиями.
В двух случаях срабатывание зависит от другого человека: действие выполняет пользователь или администратор, а не сам злоумышленник. В пяти записях отмечено изменение области действия (scope change) - последствия выходят за пределы VirtualBox и затрагивают другие продукты на том же хосте. Записи делятся по веткам поровну: три на 7.2.16 и три на 7.2.20.
В ветке 7.2.16 все три записи связаны со сбоями. Одна из них, CVE-2026-87301, даёт доступ к критичным данным и полный отказ в обслуживании, то есть зависание или повторяемый сбой, после которого продукт перестаёт отвечать. Все три записи для 7.2.20 ведут к получению контроля над продуктом. Наивысшая оценка по шкале CVSS (от 0 до 10, где 10 - максимальный риск) - 8.4 из 10; столько набирают две записи, включая атаку из смежного сегмента. Остальные Oracle относит к уровням Medium и High.
Исправления опубликованы в бюллетене cpuoct2026 от 20 октября 2026 года - это октябрьское критическое обновление Oracle (Critical Patch Update, квартальный набор исправлений вендора). Номера исправленных сборок VirtualBox в исходных данных не названы. Конкретную версию нужно смотреть в самом бюллетене Oracle или на странице загрузок продукта. Других способов закрыть уязвимости в источнике не описано.
Oracle Enterprise Manager for Virtualization 13.5 указан в списке затронутых систем уведомления. Отдельной записи CVE для него в исходных данных нет, поэтому состав проблем в этом продукте по доступным материалам не определить. Статус продукта нужно уточнять в бюллетене Oracle. Уведомление CERT-FR выпущено 21 октября 2026 года в первой версии.
Сведений об эксплуатации этих уязвимостей в реальных атаках бюллетень не приводит. Публикация технических деталей и исправлений сама по себе не означает, что уязвимости уже используют. Для администраторов важен другой вывод. Часть проблем закрывается только обновлением, а для атаки достаточно учётной записи рядового сотрудника на хосте с VirtualBox.
Действия для администратора: проверить установленные версии VirtualBox на рабочих станциях и серверах; обновить их до сборки из бюллетеня cpuoct2026; уточнить там же статус Enterprise Manager for Virtualization 13.5; следить за новыми версиями уведомления CERT-FR.
Ссылки
- https://www.oracle.com/security-alerts/cpuoct2026.html
- https://www.cve.org/CVERecord?id=CVE-2025-48734
- https://www.cve.org/CVERecord?id=CVE-2026-101598
- https://www.cve.org/CVERecord?id=CVE-2026-101599
- https://www.cve.org/CVERecord?id=CVE-2026-87301
- https://www.cve.org/CVERecord?id=CVE-2026-87303
- https://www.cve.org/CVERecord?id=CVE-2026-87311
- https://www.cve.org/CVERecord?id=CVE-2026-87322
