Oracle 2026 年 10 月 CPU

Oracle 2026 年 10 月季度关键补丁更新（Critical Patch Update）已于 10 月 20 日发布，本轮共包含 1295 个新安全补丁，是近年规模偏大的一轮。对 DBA 来说，需要看的主要是三块：数据库本体、MySQL，以及 ORDS、APEX、Enterprise Manager 这些常年跟数据库绑在一起的周边组件。

数据库本体：14 个补丁，头条是 OpenSSL 的 9.8

Oracle Database Server 本轮有 14 个新补丁（另有若干第三方组件补丁）。最高分是 CVE-2026-75803，CVSS 9.8：出在 RDBMS 的 OpenSSL 组件上，走 TLS 协议，无需认证即可远程利用，受影响版本为 19.3–19.32 与 23.4.0–23.26.3。凡是对外开放 TCPS/TLS 监听的实例，这条应当排在处理顺序的第一位。

其余值得注意的：

  • CVE-2026-93569（8.2，RDBMS 的 Micronaut 组件，HTTP），同样无需认证可远程利用；
  • CVE-2026-91563、CVE-2026-91499（均为 8.8），需要认证后利用；
  • 本轮数据库受影响版本总表为 19.3–19.32、21.3–21.23、23.4.0–23.26.3。

需要说明的是，CVE-2026-75803 是同一条 OpenSSL 漏洞，它在 Autonomous Health Framework、Analytics 等多个产品中重复出现，只是各产品按自身暴露面给出了不同评分（9.1 不等）。在数据库本体里它被评为 9.8，按 9.8 对待即可。

MySQL：98 个补丁，29 个无需认证

Oracle MySQL 本轮 98 个补丁，其中 29 个无需认证即可远程利用。最高分 9.8 有两条，且都出在第三方组件上：

  • CVE-2026-9547（9.8）：curl 组件，落在 MySQL Enterprise Backup 与 Server 的编译组件中；
  • CVE-2025-15467（9.8）：OpenSSL 组件，同样涉及 Enterprise Backup 与 Server。

这两条不是 MySQL 核心协议的漏洞，但组件随产品一同出货，备份链路又常常是巡检最容易漏看的一段，用了 Enterprise Backup 的环境不要跳过。其余高分包括 CVE-2026-101781（8.8）、CVE-2026-101785（8.3）、Connector/J 的 CVE-2026-101768（8.1）和 MySQL Router 的 CVE-2026-101810（7.5）。受影响版本主要覆盖 8.0（至 8.0.49）、8.4（至 8.4.12）、9.7（至 9.7.3）与 26.7 版本线。

数据库周边：高分反而都在这里

这一轮容易被漏掉的是周边组件，它们的评分普遍比数据库本体还高：

  • REST Data Services（ORDS）：35 个补丁，11 个无需认证，最高 8.8（CVE-2026-91610）。ORDS 通常直接对外提供服务，暴露面最大；
  • APEX：2 个补丁，其中 CVE-2026-101521 为 9.8，无需认证可远程利用，受影响版本 24.1、24.2、26.1；
  • Enterprise Manager：其中 for Oracle Database 的 Data Guard 管理组件有两条 9.9（CVE-2026-101528、CVE-2026-101529），EM 版本 13.5、24.1 受影响；
  • Essbase：38 个补丁，四条 9.9（CVE-2026-91637、CVE-2026-91638、CVE-2026-91658、CVE-2026-91663）；
  • GoldenGate 最高 8.8（CVE-2026-87351）；Secure Backup 有一条无需认证的 9.8（CVE-2026-101484）。

周边系统平时打补丁的频率远低于数据库本体，这次建议把 ORDS、APEX、EM 与数据库放在同一批处理窗口里过一遍。

企业应用一瞥

数据库之外的几个大头：Fusion Middleware 206 个补丁（134 个无需认证），含四条 10.0，分别在 Access Manager 的认证引擎与 SOA Suite 中；E-Business Suite 194 个补丁，Workflow 通知邮件组件的 CVE-2026-101809 为 10.0（12.2.3–12.2.15 受影响）；JD Edwards 102 个补丁，Orchestrator 的 CVE-2026-91299 为 10.0；PeopleSoft 109 个补丁，最高 9.8；Siebel CRM 122 个补丁，最高 9.9；Communications 110 个补丁，其中 77 个无需认证。相比之下 Java SE 本轮最高只有 7.5，用 Java 的环境这一轮压力不大。

DBCheck 已同步这轮版本核对

这轮 CPU 公布后，我把 MySQL 的受影响版本范围同步进了 DBCheck 的 MySQL 巡检规则：实例版本落在受影响范围内（8.0 至 8.0.49、8.4 至 8.4.12、9.7 至 9.7.3、26.7 至 26.7.1），报告里会自动以 P1 告警标出，并注明本轮 98 个补丁、29 个无需认证、最高 9.8 的口径与升级建议。跑一次巡检就能把手里的 MySQL 实例全量过一遍，不用逐台登录查版本。Oracle 侧 DBCheck 的巡检引擎还在内测，本轮先按下面自查三步里的命令核对；等引擎上线，这类季度 CPU 的版本核对会直接进报告。

DBA 自查三步

  1. 对版本：Oracle 数据库查 product_component_version 或补丁注册表，确认是否落在 19.3–19.32、21.3–21.23、23.4.0–23.26.3 范围内；再用 opatch lspatches 或查询 dba_registry_sqlpatch，确认 10 月 RU 是否已应用。MySQL 用 SELECT VERSION(); 对照 8.0.49、8.4.12、9.7.3、26.7.1 这几个上限。
  2. 排顺序：开了 TCPS/TLS 的数据库实例先处理 CVE-2026-75803；对外暴露的 ORDS、APEX 紧随其后；用了 Enterprise Backup 的 MySQL 环境单独列一项，不要只升 Server。
  3. 别漏周边：EM（尤其 Data Guard 管理）、GoldenGate、Secure Backup 一并纳入本轮窗口，这几处的高分不打，等于只补了一半。

下一轮 CPU 定在 2027 年 1 月 19 日；在此之前，11 月 17 日与 12 月 15 日各有一次 CSPU 安全补丁更新，订阅了 Oracle 安全通知的环境留意即可。

数据来源：Oracle Critical Patch Update Advisory – October 2026（https://www.oracle.com/security-alerts/cpuoct2026.html）

原文作者: liups.com

原文链接: http://liups.com/posts/a438bb04/

许可协议: 知识共享署名-非商业性使用 4.0 国际许可协议