Η Oracle κυκλοφόρησε τις πρώτες μεγάλες ενημερώσεις για το 2026, με την τελευταία τριμηνιαία ενημέρωση να περιλαμβάνει 337 διορθώσεις ασφαλείας σε όλο το φάσμα των προϊόντων της (27 από αυτές χαρακτηρίζονται ως κρίσιμες). Αυτός ο εντυπωσιακός αριθμός ενημερώσεων δεν θα εκπλήξει κανέναν που ασχολείται με την ασφάλεια των προϊόντων της Oracle. Το 2025, η εταιρεία είχε κατά μέσο όρο 344 ενημερώσεις ανά κυκλοφορία, οπότε οι 337 είναι σύμφωνες με αυτή την τάση.
Όταν μιλάμε για τόσο μεγάλες ενημερώσεις είναι σημαντικό να καθοριστεί από πού να ξεκινήσει κανείς και σε τι να δώσει προτεραιότητα. Αυτό συνήθως σημαίνει την αξιολόγηση των σφαλμάτων στα βασικά προϊόντα, δίνοντας ιδιαίτερη προσοχή στη σοβαρότητα. Όσον αφορά στη σοβαρότητα, ευτυχώς καμία από τις ευπάθειες του Ιανουαρίου δεν φαίνεται να έχει αξιοποιηθεί ενεργά για επιθέσεις. Αυτό σημαίνει ότι δεν υπάρχουν zero days αυτή τη φορά.
Δείτε επίσης: Η Cisco διορθώνει zero-day ευπάθεια σε Unified CM και Webex
Δεν υπάρχει καμία εγγύηση ότι αυτό δεν θα αλλάξει, γι’ αυτό οι ομάδες ασφαλείας θα πρέπει να δώσουν τη μεγαλύτερη προσοχή στις 27 ενημερώσεις που αντιστοιχούν σε 13 CVEs με κρίσιμη βαθμολογία. Ένα σημαντικό μέρος της ενημέρωσης του Ιανουαρίου ασχολείται με ζητήματα που επηρεάζουν κώδικα τρίτων, όπως βιβλιοθήκες ανοιχτού κώδικα που χρησιμοποιούνται από την Oracle στα προϊόντα της. Αυτός είναι ο λόγος για τον οποίο μεμονωμένα CVEs συχνά δημιουργούν πολλαπλές ενημερώσεις σε διαφορετικά προϊόντα, γεγονός που μπορεί να κάνει την αξιολόγηση του τι πρέπει να διορθωθεί πιο απαιτητική.
Oracle: Ανάγκη για άμεση διόρθωση κρίσιμων ευπαθειών
Ένα παράδειγμα υψηλής προτεραιότητας είναι το CVE-2026-21962 που επηρεάζει τον Oracle HTTP Server και το Oracle Weblogic Server Proxy Plug-in. Με μέγιστη βαθμολογία CVSS 10, αυτή η κρίσιμη ευπάθεια αντιμετωπίζεται από επτά διαφορετικές ενημερώσεις, ανάλογα με το ποιο προϊόν περιέχει τον ευάλωτο κώδικα.
Δείτε επίσης: Ο Chrome 144 διορθώνει ευπάθεια στο V8 JavaScript engine
Η σύγχυση αυξάνεται, επίσης, από το γεγονός ότι ορισμένα CVEs που αναφέρονται στην τελευταία ενημέρωση σχετίζονται με CVEs από προηγούμενες τριμηνιαίες ενημερώσεις. Ένα αξιοσημείωτο παράδειγμα είναι το CVE-2025-66516, με βαθμολογία 9.8 (κρίσιμη) στο CVSS, που επηρεάζει τα Oracle Middleware Common Libraries and Tools (αυτό σχετίζεται με το προηγούμενο CVE-2025-54988). Αντιμετωπίζει το γνωστό πρόβλημα του Apache Tika που ανακαλύφθηκε για πρώτη φορά τον Αύγουστο, του οποίου το εύρος επεκτάθηκε για να καλύψει περισσότερα στοιχεία τον Δεκέμβριο.
Αυτό το φαινόμενο της “διόγκωσης CVE” ισχύει για περίπου 50 από τις ευπάθειες στην ενημέρωση του Ιανουαρίου, σε ορισμένες περιπτώσεις με ένα νέο CVE να αναφέρεται σε πολλαπλά παλαιότερα CVEs.
Ποιο ήταν το πιο ευάλωτο προϊόν;
Όσον αφορά στα προϊόντα, το πιο ευάλωτο, που χρειάστηκε 56 ενημερώσεις είναι το Zero Data Loss Recovery Appliance (ZDLRA). Σχεδόν όλες είναι διορθώσεις για στοιχεία τρίτων. Παρά το γεγονός ότι 34 από αυτές περιγράφονται ως εκμεταλλεύσιμες από απόσταση, μόνο μία έχει νέο αναγνωριστικό CVE, το CVE-2026-21977.
Δείτε επίσης: Σφάλμα στο binary-parser επιτρέπει εκτέλεση κώδικα στο Node.js
Για όσους εφαρμόζουν ενημερώσεις, αυτή η λεπτομέρεια είναι σημαντική. Ένα προϊόν μπορεί να έχει μόνο ένα νέο CVE πίσω από το οποίο κρύβονται πολλαπλά άλλα που έχουν αναγνωριστεί σε CVEs από άλλους προμηθευτές. Ακριβώς πίσω από το ZDLRA (σε όγκο ενημερώσεων) είναι το Oracle Enterprise Manager με 51 ενημερώσεις, με 47 από τις ευπάθειες αυτές να μπορούν να εκμεταλλευτούν από απόσταση χωρίς αυθεντικοποίηση. Ακολουθεί το Oracle E-Business Suite με 38 ενημερώσεις (33 από τις ευπάθειες είναι εκμεταλλεύσιμες από απόσταση).
