Oracle publie 1 295 correctifs d'un coup : base de données, MySQL, Java, à mettre à jour

Si votre entreprise utilise une base Oracle, MySQL ou Java, ce billet vous concerne. Le mardi 20 octobre 2026, l’éditeur a publié son « Critical Patch Update » (CPU) trimestriel. Au programme : 1 295 nouveaux correctifs de sécurité.

Ce que contient ce lot de correctifs

C’est un chiffre énorme, parce que le CPU couvre presque toute la gamme Oracle. On y trouve notamment :

• les bases de données : Oracle Database Server, APEX, GoldenGate, Essbase ;
• MySQL (serveur, routeur, connecteurs) ;
• Java : Java SE, GraalVM, JavaFX ;
• les serveurs d’applications : WebLogic Server, SOA Suite et d’autres produits Fusion Middleware ;
• les applications métier : E-Business Suite, PeopleSoft, JD Edwards, Siebel ;
• plus de 30 produits Oracle Communications, ainsi que Solaris et VirtualBox.

Trois failles critiques à traiter en premier

Selon les matrices de risque d’Oracle, trois failles obtiennent une note de 9,8 sur 10 (CVSS) et peuvent être exploitées à distance, sans identifiant :

• CVE-2026-75803 dans Oracle Database Server (composant OpenSSL/TLS). Elle touche les versions 19.3 à 19.32 et 23.4.0 à 23.26.3. Elle concerne aussi l’Autonomous Health Framework, avec une note de 9,1 ;
• CVE-2026-101521 dans Oracle APEX ;
• CVE-2026-91665 dans Oracle Essbase.

Une faille « exploitable sans authentification » signifie qu’un attaquant n’a pas besoin de compte pour tenter sa chance. Il lui suffit de pouvoir joindre le service sur le réseau. C’est ce qui rend ces failles prioritaires.

Les matrices comptent aussi d’autres failles de ce type : 4 au total pour Oracle Database Server, 14 pour Essbase, 3 pour GoldenGate et 2 pour APEX. Ces chiffres sont ceux que nous avons pu relever. Le détail complet est dans l’avis d’Oracle.

Exploitée ou non ?

À la date de publication de cet article, nous n’avons pas trouvé de source primaire indiquant que ces failles sont déjà exploitées par des attaquants. Ce n’est pas une raison d’attendre. Une fois les correctifs publiés, les pirates comparent souvent les versions pour comprendre la faille et la cibler chez ceux qui tardent.

Que faire concrètement

1. Identifiez les produits Oracle utilisés dans votre entreprise. Oubliez-vous un vieux Java sur un poste, ou un MySQL installé avec une application ?
2. Priorisez les serveurs accessibles depuis Internet, puis les bases de données qui contiennent des données sensibles.
3. Appliquez les correctifs du CPU d’octobre, en commençant par les trois failles ci-dessus.
4. Vérifiez que vous utilisez une version encore supportée. Oracle rappelle que les versions sans support ne reçoivent pas de correctifs.
5. Testez avant de déployer en production, et gardez une sauvegarde récente (voir notre guide sur la règle 3-2-1).

Le prochain CPU est prévu le 17 novembre 2026, puis le 19 janvier 2027. Mettre ces dates dans l’agenda de l’équipe informatique évite de se laisser déborder.