Czerwcowa aktualizacja bezpieczeństwa Oracle (Critical Security Patch Update – CSPU) z 2026 roku jest jedną z największych i najistotniejszych w ostatnim okresie. Obejmuje 245 poprawek dla 243 unikalnych podatności, które występują w szerokim spektrum produktów – od systemów baz danych, przez middleware, aż po aplikacje ERP i narzędzia chmurowe.
Szczególnie niepokojący jest fakt, że niemal połowa wykrytych luk została sklasyfikowana jako krytyczna, a wiele z nich można wykorzystać zdalnie bez potrzeby uwierzytelniania. Oznacza to, że potencjalny atakujący nie musi posiadać żadnych danych dostępowych, aby rozpocząć atak — wystarczy dostęp do sieci. Takie podatności są uznawane za jedne z najgroźniejszych, ponieważ mogą prowadzić do natychmiastowego przejęcia całych systemów.
Aktualizacja obejmuje wiele kluczowych rozwiązań używanych w przedsiębiorstwach, takich jak Oracle Fusion Middleware, PeopleSoft, JD Edwards czy MySQL. W przypadku niektórych z nich liczba podatności jest bardzo wysoka — np. w Fusion Middleware wykryto ponad 100 luk, z czego znacząca część ma charakter krytyczny i może prowadzić do zdalnego wykonania kodu.
Istotnym elementem tej aktualizacji jest również obecność podatności typu zero-day, czyli takich, które były aktywnie wykorzystywane przez cyberprzestępców zanim producent zdążył opublikować poprawkę. To pokazuje, że współczesne ataki są coraz bardziej zaawansowane i szybkie, a organizacje często nie nadążają z wdrażaniem aktualizacji zabezpieczeń.
Oracle podkreśla, że jednym z głównych powodów skutecznych ataków nie jest brak poprawek, lecz opóźnienie w ich instalowaniu. W praktyce oznacza to, że nawet znane i załatane podatności nadal stanowią zagrożenie, jeśli systemy nie są aktualizowane na bieżąco.
Podsumowując, CSPU June 2026 to przykład aktualizacji, która pokazuje skalę współczesnych zagrożeń cybernetycznych oraz znaczenie zarządzania podatnościami w środowiskach enterprise. Wiele z opisanych luk może prowadzić do poważnych incydentów bezpieczeństwa, takich jak kradzież danych, przejęcie systemu czy zakłócenie ciągłości działania organizacji.
Najważniejsze podatności
CVE-2026-35273 (Oracle PeopleSoft – zero-day)
Jedna z najpoważniejszych podatności wykrytych w tej aktualizacji. Umożliwia zdalne wykonanie dowolnego kodu bez uwierzytelniania, co oznacza, że atakujący może przejąć kontrolę nad systemem bez żadnych danych logowania. Luka była aktywnie wykorzystywana jako zero-day, co dodatkowo zwiększa jej znaczenie.
CVE-2026-35300 (Oracle WebLogic Server)
Krytyczna podatność pozwalająca na przejęcie serwera aplikacyjnego WebLogic poprzez atak sieciowy. Nie wymaga autoryzacji i może skutkować pełnym dostępem do zasobów systemu, w tym danych oraz usług. Takie podatności są szczególnie niebezpieczne w środowiskach produkcyjnych.
CVE-2026-46850 (Oracle MySQL)
Podatność dotyczy komponentu MySQL i umożliwia zdalne wykonanie kodu. Jej wykorzystanie może prowadzić do kompromitacji serwera bazy danych oraz manipulacji danymi przechowywanymi w systemie. Jest to szczególnie istotne w kontekście systemów przechowujących dane biznesowe.
CVE-2026-46978 (Oracle Solaris)
Luka w systemie Solaris umożliwia nieautoryzowany dostęp do funkcji administracyjnych. W praktyce może to prowadzić do eskalacji uprawnień i przejęcia kontroli nad systemem operacyjnym, co stanowi poważne zagrożenie dla infrastruktury IT.
CVE-2026-35278 (Oracle PeopleTools)
Podatność dotyczy komponentu monitorowania wydajności i może być wykorzystana zdalnie bez uwierzytelniania. Atakujący może uzyskać dostęp do danych systemowych oraz informacji o działaniu aplikacji, co może być wykorzystane w dalszych etapach ataku.
CVE-2026-35302 / CVE-2026-35303 (WebLogic Console)
Podatności w konsoli administracyjnej WebLogic umożliwiają uzyskanie dostępu do systemu lub jego przejęcie. Choć w niektórych przypadkach wymagają dodatkowych warunków (np. interakcji użytkownika), nadal stanowią wysokie ryzyko dla środowisk produkcyjnych.
+48 22242 1996
+48 571 207 996
cert@pse.pl 
klucz publiczny