Oracle vá hơn 1.200 lỗ hổng trong bản cập nhật bảo mật tháng 10/2026

Oracle vừa phát hành bản cập nhật bảo mật định kỳ Critical Patch Update (CPU) cho tháng 10/2026, mang đến tổng cộng 1.295 bản vá mới trải rộng trên hàng chục sản phẩm của hãng.

Minh họa bản vá bảo mật Oracle

Đợt cập nhật này một lần nữa cho thấy quy mô và độ phức tạp của hệ sinh thái phần mềm doanh nghiệp của Oracle, đồng thời là lời nhắc nhở cho các tổ chức tại Việt Nam đang vận hành các hệ thống Oracle rằng việc vá lỗi cần được ưu tiên đúng mức.

Gần 100 lỗ hổng mức nghiêm trọng

Theo phân tích của Tenable, bản CPU tháng này xử lý 1.209 CVE riêng biệt. Trong đó có 95 lỗ hổng được xếp mức nghiêm trọng (critical), 439 CVE mức cao (high) và 582 CVE mức trung bình (medium).

Con số gần 100 lỗ hổng critical trong một đợt vá duy nhất là mức đáng lưu ý, bởi đây là những lỗi có khả năng bị khai thác để chiếm quyền điều khiển hệ thống hoặc rò rỉ dữ liệu nếu không được xử lý kịp thời.

Fusion Middleware dẫn đầu số bản vá

Oracle Fusion Middleware là sản phẩm nhận nhiều bản vá nhất với 206 lỗi, trong đó có 134 lỗi có thể bị khai thác từ xa mà không cần xác thực. Đây là con số đáng báo động, bởi kẻ tấn công không cần bất kỳ thông tin đăng nhập nào để tấn công các hệ thống chạy nền tảng này.

Các sản phẩm khác cũng nhận khối lượng bản vá lớn:

• E-Business Suite: 194 bản vá
• Siebel CRM: 122 bản vá
• Communications: 110 bản vá
• PeopleSoft: 109 bản vá
• JD Edwards: 102 bản vá
• MySQL: 98 bản vá
• Java SE: 55 bản vá
• Supply Chain: 50 bản vá

Ngoài ra, hàng loạt sản phẩm khác cũng được cập nhật, bao gồm Oracle Essbase, REST Data Services, Analytics, Systems, Database Server, Enterprise Manager, GoldenGate, Virtualization, Autonomous Health Framework, Financial Services Applications, Retail Applications, TimesTen In-Memory Database, APEX, NoSQL Database và SQL Developer.

Chưa ghi nhận bị khai thác thực tế, nhưng không thể chủ quan

Oracle cho biết chưa đánh dấu lỗ hổng nào trong đợt này là đã bị khai thác ngoài thực tế. Tuy vậy, hãng phần mềm Mỹ nhắc nhở rằng họ vẫn định kỳ nhận được các báo cáo về những nỗ lực khai thác nhắm vào sản phẩm của mình.

Việc một lỗ hổng chưa bị khai thác công khai không có nghĩa là nó an toàn — với các hệ thống hạ tầng doanh nghiệp, thời gian từ lúc vá đến lúc bị tấn công có thể rất ngắn.

Một ngày sau khi công bố CPU, Oracle tiếp tục phát hành một khuyến cáo và cảnh báo bảo mật riêng cho CVE-2026-91403, phản ánh cách xử lý của Java (và Oracle) đối với sự cố eMudhra weak-key liên quan đến khóa yếu.

Lịch phát hành sắp tới

Oracle sẽ phát hành các bản Critical Security Patch Updates (CSPU) vào ngày 17/11 và 15/12/2026 — loại bản vá này được phát hành vào thứ Ba thứ ba của mỗi tháng. Bản CPU tiếp theo dự kiến ra mắt vào 19/01/2027.

Tác giả Eduard Kovacs, biên tập viên cấp cao của SecurityWeek

Khuyến nghị cho doanh nghiệp Việt Nam

Với các tổ chức trong nước đang sử dụng Oracle Database, Fusion Middleware, E-Business Suite hay PeopleSoft — những hệ thống phổ biến trong khối ngân hàng, viễn thông và doanh nghiệp lớn — việc rà soát và áp dụng bản vá nên được thực hiện theo thứ tự ưu tiên:

• Ưu tiên tuyệt đối các lỗ hổng critical có thể khai thác từ xa không cần xác thực, đặc biệt trên các hệ thống có cổng kết nối internet
• Lập kế hoạch vá cho các hệ thống lõi trong khung thời gian hợp lý, có phương án dự phòng và kiểm thử trước khi triển khai
• Theo dõi các CSPU hàng tháng thay vì chỉ chờ đến CPU theo quý
• Rà soát lại cấu hình các dịch vụ Fusion Middleware đang mở ra ngoài internet

Các đợt vá với khối lượng lớn như tháng 10/2026 cho thấy bảo mật không phải là công việc một lần, mà là quy trình liên tục đòi hỏi sự phối hợp giữa đội ngũ vận hành, bảo mật và cả ban lãnh đạo doanh nghiệp.