Oracle parcha seis fallas críticas que no exigen clave, sin ataques conocidos

Oracle publicó el 20 de octubre su actualización crítica de parches de octubre, con 1.295 parches de seguridad, y seis de las fallas que corrige tienen la nota máxima de gravedad, 10 sobre 10, según el aviso y el resumen de CSO Online. Las seis se pueden atacar por la red sin usuario ni contraseña y permiten tomar el control del sistema afectado. El 24 de octubre sumó un aviso urgente para Java SE. Los productos afectados sostienen la facturación, las compras y el inicio de sesión de grandes empresas y organismos públicos.

Qué es la falla en cada sistema

Son errores que dejan entrar a un atacante a un sistema que debería pedirle credenciales. Según la matriz de riesgo de Oracle, 95 fallas distintas tienen un puntaje de 9 o más en la escala CVSS (Common Vulnerability Scoring System), y 46 llegan a 9,8 o 10 sin exigir autenticación.

Las seis de puntaje 10 están en el envío de notificaciones de E-Business Suite, en el motor de autenticación de Access Manager, en tres componentes de SOA Suite y en el orquestador de JD Edwards EnterpriseOne. Se atacan por HTTP o por T3 e IIOP, protocolos de los servidores Java de Oracle, y según la ficha de la base NVD el daño puede alcanzar a otros productos conectados. WebLogic Server, el servidor de aplicaciones de esa familia, suma dos fallas de 9,8 sin autenticación, como CVE-2026-91323.

El caso de Java es distinto. CVE-2026-114820, con puntaje 9,1, apareció en NVD el 24 de octubre a las 19:17 UTC (16:17 en Buenos Aires y São Paulo, 14:17 en Bogotá y Lima, 13:17 en Ciudad de México). La actualización quita de Java los certificados raíz vinculados con eMudhra, la autoridad certificadora de la India cuyas claves de firma eran tan débiles que cualquiera podía recuperarlas, según BleepingComputer. Una de esas claves privadas valía 4.

A quién afecta

• E-Business Suite, versiones 12.2.3 a 12.2.15.
• SOA Suite, versiones 12.2.1.4.0 y 14.1.2.0.0, y Access Manager, versiones 12.2.1.4.0 y 14.1.2.1.0.
• WebLogic Server, versiones 12.2.1.4.0, 14.1.1.0.0, 14.1.2.0.0 y 15.1.1.0.0.
• JD Edwards EnterpriseOne Orchestrator, versiones 9.2.0.0 a 9.2.26.5.
• Java SE 8, 11, 17, 21, 25 y 27, y GraalVM, incluso en las versiones que salieron con el parche del 20 de octubre.
• Las versiones fuera de soporte no se prueban y, según Oracle, probablemente también están afectadas.

Estado de explotación

Sin explotación conocida. Ninguna de las 95 fallas críticas ni la de Java figura en el catálogo de fallas explotadas de CISA, la agencia de ciberseguridad de Estados Unidos, en su versión del 23 de octubre, y Oracle no las marcó como atacadas. Oracle recordó que recibe reportes de ataques contra fallas ya parchadas, que a veces funcionan porque el cliente no actualizó.

Antecedentes recientes

CISA sumó a su catálogo una falla de E-Business Suite en octubre de 2025, usada en campañas de secuestro de datos, otra del mismo producto en julio de 2026, una de WebLogic en junio y una de HTTP Server en agosto.

Qué hacer

• Parchear primero lo expuesto a internet con puntaje de 9,8 o 10 sin autenticación, en este orden de riesgo: E-Business Suite, Access Manager, SOA Suite, WebLogic y el orquestador de JD Edwards.
• Mientras se instala el parche, cerrar el acceso desde internet a los puertos T3 e IIOP de WebLogic y SOA Suite, y limitar las consolas a la red interna.
• Revisar registros de acceso y cuentas nuevas para descartar un ingreso previo.
• Actualizar Java SE y GraalVM con la versión del 24 de octubre, o aplicar las mitigaciones del aviso, sobre todo en servidores que validan conexiones cifradas.
• Seguir los documentos de parches de Oracle de cada producto. El próximo parche trimestral sale el 19 de enero de 2027.

Ficha técnica

• CVE de puntaje 10: CVE-2026-101809, CVE-2026-87337, CVE-2026-91216, CVE-2026-91221, CVE-2026-91231 y CVE-2026-91299.
• Vector de las seis: CVSS 3.1 AV:N/AC:L/PR:N/UI:N/S:C, por red, sin privilegios ni interacción.
• WebLogic: CVE-2026-91323 y CVE-2026-83399, CVSS 9,8, CWE-287 (autenticación incorrecta).
• Java SE: CVE-2026-114820, CVSS 9,1, componente JSSE, vector AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N.
• CWE de CVE-2026-101809 y CVE-2026-91299: CWE-284 (control de acceso inadecuado).
• Versiones corregidas: las de los documentos de disponibilidad de parches de Oracle de cada producto.
• Avisos del fabricante: actualización crítica de octubre de 2026 y alerta de seguridad de Java.
• Alta en el catálogo KEVcatálogo de vulnerabilidades explotadas conocidas (KEV) Lista pública de la Agencia de Ciberseguridad y Seguridad de Infraestructura de Estados Unidos (CISA) que reúne vulnerabilidades con evidencia de explotación activa, para que se prioricen al corregir. de CISA: ninguna al 24 de octubre de 2026.