Oracle 的季度 CPU 这个月照例在 10 月 20 日发了，1295 个新安全补丁。数据库方向的同行重点其实不在"1295"这个总数上——真正要紧的是数据库本体那 14 条里最高分的那条 OpenSSL，以及六月份就该修完却还在被人翻着打的 PeopleSoft。这篇按我自己的排法写。
先说数据库本体。RDBMS 这轮 14 个补丁，最高分是 CVE-2026-75803，CVSS 9.8，出在 OpenSSL 组件上，走 TLS 协议，无需认证即可远程利用。受影响版本是 19.3–19.32 和 23.4.0–23.26.3。凡是把 TCPS/TLS 监听开在公网或半 trusted 网段的实例，这条排处理顺序第一位。要注意它同源出现在多个产品里，Autonomous Health Framework、Analytics 等组件里同一条 OpenSSL 按各自暴露面给了不同评分（9.1 起不等），数据库本体里按 9.8 对待即可，不用困惑为什么好几个地方分数不一样。其余值得看的：CVE-2026-93569（8.2，Micronaut 组件，走 HTTP，无需认证）、CVE-2026-91499 和 CVE-2026-91563（都是 8.8，需要认证）。数据库受影响版本总表：19.3–19.32、21.3–21.23、23.4.0–23.26.3。
MySQL 这轮 98 个补丁，29 个无需认证。最高分 9.8 有两条，都出在第三方组件上，其中 CVE-2026-9547 是 curl 组件，落在 MySQL Enterprise Backup 和 Server 的编译组件里。用 Enterprise Backup 的注意一下，备份工具的洞经常被当成"不对外所以不急"，但它是拿到数据库主机后横向的现成跳板。
再说六个满分洞，都不在数据库侧，但 ERP 中间件团队要接住：Oracle Access Manager 的 CVE-2026-87337（12.2.1.4.0、14.1.2.1.0，HTTP 无需认证，可增删改 OAM 全部数据）、E-Business Suite Workflow Notification Mailer 的 CVE-2026-101809（12.2.3–12.2.15，无需认证可完全接管 Workflow）、SOA Suite 的三条（CVE-2026-91231 Adapters、CVE-2026-91216 和 CVE-2026-91221 都是 Fabric Layer，后两条走 WebLogic 的 T3 和 IIOP 协议）、JD Edwards EnterpriseOne Orchestrator 的 CVE-2026-91299（9.2.0.0–9.2.26.5，HTTP 可完全接管）。
最值得单独写一段的是 PeopleSoft 的 CVE-2026-35273。这条 CVSS 9.8 六月就修了，但九月底 Google 威胁情报组报告 ShinyHunters 改了利用方式，绕开了很多组织拿来代替补丁的 WAF 规则，继续打那些"有 WAF 但没打补丁"的 PeopleSoft 服务器，Google 已经通知了超过 100 家受影响组织，还在投放 webshell 和新后门。这是"缓解措施不能替代补丁"的现成反面教材：WAF 挡的是已知 payload 形状，人家改个形状就进来了。还在用 WAF 顶着这条洞的，别再拖了。
整体盘面上，Fortra 按 Oracle 官方风险矩阵统计：1295 个补丁对应 1209 个唯一 CVE，其中 519 个无需认证即可远程利用，95 个在 9.0 以上，最高 10.0。产品族条目数前三：Fusion Middleware 206（其中 134 条无需认证）、E-Business Suite 194、Siebel 122。两个提醒：一是 Oracle 10 月 15 日的预通告说 1283 个，最终 1295，各产品族数目也有变动，按预通告排维护窗口的要按最终公告重排；二是 VirtualBox 这次出 7.2.22，但软件内置更新器实测还认为 7.2.20 是最新，桌面用户手动去下载页拿。
本次核对过的来源，Oracle 官方公告为权威源，其余为独立分析核对：
1. Oracle Critical Patch Update Advisory - October 2026（官方）
https://www.oracle.com/security-alerts/cpuoct2026.html
文本版风险矩阵：https://www.oracle.com/security-alerts/cpuoct2026verbose.html
2. Fortra：October 2026 Oracle Critical Patch Update Analysis
https://www.fortra.com/blog/october-2026-oracle-critical-patch-update-analysis
3. heise online：Oracle patch day, 1,295 security fixes（含 VirtualBox 更新器未推送的观察）
https://www.heise.de/en/news/Oracle-patch-day-1-295-security-fixes-across-the-board-11495375.html
4. Waratek：Oracle Releases the October 2026 CPU（PeopleSoft / ShinyHunters 与预通告口径）
https://waratek.com/news/oracle-releases-the-october-2026-critical-patch-update
5. 蓝皮书的自留地：Oracle 2026 年 10 月 CPU 数据库侧拆解（中文，版本区间核对一致）
https://www.liups.cn/posts/a438bb04
6. BeyondMachines：Oracle Fixes 1295 Security Flaws（六条满分洞清单）
https://beyondmachines.net/event_details/oracle-fixes-1295-security-flaws-in-massive-october-update-a-r-y-b-u/gD2P6Ple2L
**HKTULU**
2026-10-26
|
|
