Oracle ha publicado su Critical Security Patch Update (CSPU) de septiembre de 2026, una actualización de seguridad que incluye 673 nuevos parches de seguridad para diferentes productos y familias de soluciones de Oracle.

La actualización afecta a numerosos productos empresariales, incluyendo plataformas de bases de datos, middleware, aplicaciones empresariales, soluciones de identidad y herramientas de gestión.

Entre las vulnerabilidades identificadas destacan 6 vulnerabilidades con una puntuación CVSS de 10.0, consideradas de máxima gravedad.

Principales datos

• 673 nuevos parches de seguridad
• 104 parches de nivel crítico
• 6 vulnerabilidades con CVSS 10.0
• Múltiples productos y versiones afectados
• Algunas vulnerabilidades pueden ser explotadas de forma remota y sin autenticación

Vulnerabilidades con CVSS 10.0

Entre las vulnerabilidades de mayor gravedad se encuentran:

Estas vulnerabilidades afectan a diferentes componentes y versiones de los productos indicados. En determinados casos, un atacante remoto no autenticado puede aprovechar la vulnerabilidad mediante servicios accesibles por red, pudiendo provocar accesos no autorizados o comprometer la confidencialidad e integridad de la información.

CVE-2026-71133 – Oracle Access Manager

La vulnerabilidad afecta al motor de autenticación de Oracle Access Manager. Puede ser explotada remotamente por un atacante no autenticado mediante HTTP y podría permitir comprometer el producto.

CVE-2026-83099 – Oracle Forms

La vulnerabilidad afecta a Forms Services, incluyendo los componentes C/S y Charmode. Un atacante remoto no autenticado con acceso mediante HTTP podría explotar la vulnerabilidad y comprometer el producto.

CVE-2026-83059 – Oracle Internet Directory

La vulnerabilidad se encuentra en el servidor LDAP de Oracle Internet Directory. Puede ser explotada remotamente mediante LDAP por un atacante no autenticado.

CVE-2026-83020 – Oracle Platform Security for Java

La vulnerabilidad afecta al componente Centralized Thirdparty Jars. Un atacante remoto no autenticado mediante HTTP podría comprometer el producto y, potencialmente, afectar a otros productos que dependan de él.

CVE-2026-83021 – Oracle WebLogic Server

La vulnerabilidad afecta al componente Web Container de Oracle WebLogic Server. Puede ser explotada remotamente mediante HTTP por un atacante no autenticado y podría permitir comprometer el servidor.

CVE-2026-87230 – Oracle Hyperion Financial Management

La vulnerabilidad afecta al componente Security de Oracle Hyperion Financial Management, versión 11.2.26.0.000.

Se trata de una vulnerabilidad fácilmente explotable por un atacante no autenticado con acceso de red mediante HTTP. La explotación exitosa puede permitir acceso no autorizado a datos críticos, así como la creación, modificación o eliminación no autorizada de información.

La vulnerabilidad presenta una puntuación CVSS 3.1 de 10.0.

Productos afectados

El aviso de Oracle afecta a un amplio conjunto de productos y versiones. Entre ellos se encuentran:

• Oracle Access Manager
• Oracle Forms
• Oracle Internet Directory
• Oracle Platform Security for Java
• Oracle WebLogic Server
• Oracle Database Server
• Oracle E-Business Suite
• Oracle Fusion Middleware
• Oracle Identity Manager
• Oracle WebCenter
• Oracle PeopleSoft
• Oracle Siebel
• Oracle Hyperion Financial Management
• Oracle Banking
• Oracle Communications
• Oracle Data Integrator
• Oracle VM VirtualBox, entre otros.

La afectación concreta depende del producto y de la versión instalada, por lo que es necesario consultar la matriz oficial de Oracle antes de determinar si un sistema concreto está afectado.

Recomendaciones de seguridad

Ante esta actualización, se recomienda realizar las siguientes acciones:

1. Revisar el inventario Oracle e identificar todos los productos y versiones instalados.
2. Identificar las versiones afectadas, prestando especial atención a los productos expuestos a Internet y a las vulnerabilidades con CVSS 10.0.
3. Aplicar los parches oficiales de Oracle correspondientes al CSPU de septiembre de 2026.
4. Verificar la correcta aplicación de las actualizaciones y comprobar que no permanezcan sistemas vulnerables.

Mientras se realizan las actualizaciones, pueden aplicarse medidas temporales de reducción de exposición, como limitar accesos de red o eliminar privilegios innecesarios. Estas medidas deben considerarse temporales y no sustituyen la instalación de los parches oficiales.

Importancia de la actualización

La presencia de vulnerabilidades con CVSS 10.0, especialmente aquellas que pueden ser explotadas remotamente sin autenticación, hace necesario revisar con prioridad los entornos Oracle afectados.

Las organizaciones que utilicen Oracle WebLogic Server, Oracle Access Manager, Oracle Forms, Oracle Internet Directory, Oracle Platform Security for Java o Oracle Hyperion Financial Management deberían comprobar sus versiones instaladas y contrastarlas con la información publicada por Oracle.

Fuente oficial

Oracle – Critical Security Patch Update Advisory, September 2026

https://www.oracle.com/security-alerts/cspusep2026.html

La información sobre productos afectados, versiones, CVE, puntuaciones CVSS y parches disponibles debe consultarse directamente en el aviso oficial de Oracle, ya que la aplicabilidad del parche depende de la versión y configuración concreta de cada producto.