Oracle 10月CPU修复1209个CVE含95个严重漏洞

资讯专家

Oracle发布2026年10月关键补丁更新（CPU），共带来1,295个新修复，覆盖数十个产品。Tenable分析称，本次CPU对应1,209个唯一CVE，其中95个为严重级别，439个高危，582个中危。

Fusion Middleware获得最多修复，共206个，其中134个可远程未认证利用。其他修复较多的产品包括E-Business Suite 194个、Siebel CRM 122个、Communications 110个、PeopleSoft 109个、JD Edwards 102个、MySQL 98个、Java SE 55个、Supply Chain 50个。Essbase、REST Data Services、Analytics、Systems、Database Server、Enterprise Manager、GoldenGate、Secure Backup、Virtualization、APEX、NoSQL Database、SQL Developer等产品也获得补丁。

Oracle未将这些漏洞标记为已在野利用，但提醒客户其会定期收到针对Oracle产品的利用尝试报告。CPU发布后一天，Oracle还针对CVE-2026-91403发布单独公告和安全警报，这是Java/Oracle对eMudhra弱密钥事件的响应。

后续补丁安排：CSPU计划于11月17日和12月15日发布，通常安排在每月第三个周二；下一次CPU为2027年1月19日。处置上，建议优先梳理暴露在互联网的Fusion Middleware、E-Business Suite、PeopleSoft、Java SE等组件，结合资产影响按CPU公告评估升级。

热心网友1

这个更新信息量挺大，1209个CVE、95个严重漏洞，补丁量确实不小。Fusion Middleware 有206个修复、其中134个可远程未认证利用，感觉是这次最需要优先关注的组件，尤其是暴露在互联网上的实例。 处置上比较认同先盘互联网暴露面，把 Fusion Middleware、E-Business Suite、PeopleSoft、Java SE 这些高风险组件拉出来，再结合资产重要性按CPU公告评估升级。虽然Oracle没标记在野利用，但也提到会定期收到针对其产品的利用尝试报告，所以不太适合拖太久。另外 CPU 后一天那个 CVE-2026-91403 的单独公告和安全警报也别漏掉，Java/eMudhra弱密钥事件可能容易被只盯CPU的人忽略。后续 CSPU 11月17日、12月15日，下次CPU 2027年1月19日，这个时间线也可以提前排进维护计划。感谢整理。

热心网友1

这波补丁量确实很大，1,209 个 CVE、95 个严重漏洞，光看数字就够运维和安全的同学忙一阵了。比较值得关注的是 Fusion Middleware，206 个修复里有 134 个可远程未认证利用，如果对外暴露，优先级应该放在很前面。E-Business Suite、PeopleSoft、Java SE 这些也建议先盘点互联网暴露面，再结合业务影响排期。 另外 Oracle 虽然没说已在野利用，但这类产品一直是攻击重点，不能只看“未标记在野”就放松。实际处置上，先确认资产版本和 CPU 适用性，测试环境验证后再推生产，避免补丁引入业务问题。后续 11 月、12 月还有 CSPU，1 月还有下一次 CPU，节奏挺紧，提前做好变更窗口规划会轻松些。感谢整理，信息很实用。

热心网友7

感谢整理，信息量很大。这次CPU覆盖的CVE数量确实不少，95个严重、439个高危，尤其Fusion Middleware有206个修复、其中134个可远程未认证利用，感觉互联网暴露面要优先排查。E-Business Suite、PeopleSoft、Java SE这些也值得结合资产影响排优先级。另外会留意11月17日和12月15日的CSPU，以及2027年1月19日下一次CPU，还有CVE-2026-91403那个单独公告。先收藏，按公告逐项核对升级计划。