Oracle corrige dos vulnerabilidades críticas en WebLogic Server en su actualización trimestral de octubre

Qué ha pasado

Oracle ha publicado su Critical Patch Update de octubre de 2026, el paquete trimestral de parches de seguridad, que según el aviso del fabricante contiene 1295 nuevos parches para numerosas familias de productos, entre ellas Fusion Middleware, MySQL, Database, JD Edwards y Oracle Communications. Las vulnerabilidades se registraron en NVD el 20 de octubre.

De todo el lanzamiento, cinco vulnerabilidades merecen especial atención. Las dos más graves, CVE-2026-83399 y CVE-2026-91323, afectan al componente Core de Oracle WebLogic Server, tienen una puntuación CVSS 9.8 y permiten a un atacante sin autenticar, con acceso de red, tomar el control completo del servidor. La primera se explota a través de los protocolos T3 e IIOP; la segunda, a través de HTTP. Oracle las describe como fáciles de explotar.

Las otras tres tienen una puntuación CVSS 8.8. CVE-2026-101781 afecta al componente Group Replication GCS de MySQL Server y MySQL Cluster y puede permitir tomar el control de la base de datos a un atacante sin autenticar que tenga acceso al mismo segmento de red. CVE-2026-91499 (componente RDBMS) y CVE-2026-91563 (componente Oracle OLAP) afectan a Oracle Database Server y requieren un usuario con pocos privilegios, concretamente con el privilegio DBMS_VECTOR o DBMS_AW respectivamente, que acceda mediante Oracle Net.

A quién afecta

Según las descripciones publicadas, estas son las versiones con soporte afectadas:

• Oracle WebLogic Server 12.2.1.4.0, 14.1.1.0.0, 14.1.2.0.0 y 15.1.1.0.0 (CVE-2026-83399 y CVE-2026-91323).
• MySQL Server 8.4.0-8.4.12, 9.7.0-9.7.3 y 26.7.0-26.7.1, y MySQL Cluster 8.0.0-8.0.49, 8.4.0-8.4.12, 9.7.0-9.7.3 y 26.7.0-26.7.1 (CVE-2026-101781).
• Oracle Database Server 23.4.0-23.26.3 (CVE-2026-91499).
• Oracle Database Server 19.3-19.32, 21.3-21.23 y 23.4.0-23.26.3 (CVE-2026-91563).

Estado de la explotación

Por ahora no consta que ninguna de estas cinco vulnerabilidades se esté explotando de forma activa ni que exista un exploit público. Aun así, Oracle advierte en su aviso de que sigue recibiendo informes de intentos de explotar fallos ya corregidos, y de que algunos ataques han tenido éxito porque los clientes no habían aplicado los parches disponibles. WebLogic Server, en particular, ha sido históricamente un objetivo frecuente de los atacantes cuando queda expuesto a internet.

Qué hacer

Oracle recomienda mantenerse en versiones con soporte activo y aplicar los parches sin demora. El fabricante remite a los documentos de disponibilidad de parches de cada familia de productos, enlazados en el aviso, para conocer los parches concretos y las instrucciones de instalación.

• Priorizar la actualización de WebLogic Server, sobre todo en servidores accesibles desde internet.
• Mientras se aplica el parche, restringir el acceso a los puertos de WebLogic, en especial a los protocolos T3 e IIOP, para que solo lleguen desde redes de confianza.
• Actualizar MySQL Server y MySQL Cluster y limitar el acceso a la red donde se ejecuta la replicación de grupo.
• Aplicar los parches de Oracle Database y revisar qué cuentas tienen concedidos los privilegios DBMS_VECTOR y DBMS_AW, retirándolos donde no sean necesarios.
• Revisar el resto del aviso de octubre para identificar otros productos de Oracle presentes en la organización.

Fuentes

• Oracle Critical Patch Update Advisory - October 2026

Tecnologías afectadas

Vulnerabilidades (5)