สรุปสั้น

บริษัท Oracle ออก Critical Patch Update (CPU) ประจำเดือนตุลาคม 2569 เมื่อ 20 ตุลาคม รวม 1,295 แพตช์ความปลอดภัยใหม่ ครอบคลุมทั้งซอฟต์แวร์ของ Oracle และคอมโพเนนต์จากผู้ผลิตรายอื่นที่ฝังอยู่ในผลิตภัณฑ์ ในจำนวนนี้มี 690 รายการที่โจมตีจากระยะไกลผ่านเครือข่ายได้โดยไม่ต้องยืนยันตัวตน ผลิตภัณฑ์ที่ได้รับผลกระทบมีทั้งฐานข้อมูล มิดเดิลแวร์ แอปพลิเคชันธุรกิจ Java, MySQL และแพลตฟอร์มเวอร์ชวลไลเซชัน กลุ่มที่ได้แพตช์มากที่สุดคือ Fusion Middleware 206 รายการ ตามด้วย E-Business Suite 194 รายการ และ Siebel CRM 122 รายการ

ช่องโหว่ที่ควรรีบปิดคือ CVE-2026-75803 ในส่วน OpenSSL ของ Oracle Database Server และ CVE-2026-101521 ใน Oracle APEX ซึ่งได้ CVSS 3.1 9.8 ทั้งคู่ และโจมตีได้ผ่านเครือข่ายโดยไม่ต้องมีข้อมูลรับรองหรือให้ผู้ใช้ทำอะไร ส่วน Oracle Essbase มี 4 ช่องโหว่คะแนน 9.9 และอีก 1 รายการคะแนน 9.8 Oracle เตือนว่ายังได้รับรายงานความพยายามโจมตีช่องโหว่ที่ออกแพตช์ไปแล้วอย่างต่อเนื่อง และบางครั้งสำเร็จเพราะลูกค้าไม่ได้ติดตั้งแพตช์

รายละเอียดข่าว

เว็บไซต์ GBHackers รายงานเมื่อวันที่ 21 ตุลาคม 2569 ว่า Oracle Database Products ได้รับ 126 แพตช์ใหม่ ครอบคลุม Database Server, APEX, Essbase, GoldenGate และ REST Data Services โดยตัว Database Server เองมี 14 แพตช์ ในจำนวนนี้ 4 รายการโจมตีจากระยะไกลได้โดยไม่ต้องยืนยันตัวตน และ 2 รายการมีผลกับการติดตั้งแบบ client-only ด้วย ตัวเลข 1,295 นับเป็นจำนวนแพตช์ ไม่ใช่จำนวนช่องโหว่ที่ไม่ซ้ำกัน เพราะ CVE เดียวอาจปรากฏในหลายผลิตภัณฑ์

กลุ่มผลิตภัณฑ์แพตช์โจมตีระยะไกลได้โดยไม่ยืนยันตัวตน
Oracle Fusion Middleware206134
Oracle E-Business Suite19431
Oracle Siebel CRM12266
Oracle Communications11077
Oracle PeopleSoft10941
Oracle JD Edwards10244
Oracle MySQL9829
Oracle Java SE5549
Oracle Supply Chain5019
Oracle Essbase3814
Oracle Database Server144
อื่น ๆ (22 กลุ่ม)197182
รวม1,295690

Oracle แนะนำให้ติดตั้งแพตช์โดยเร็วที่สุด มาตรการชั่วคราวที่ทำได้ เช่น บล็อกโปรโตคอลที่ใช้ในการโจมตี หรือถอดสิทธิ์และการเข้าถึงแพ็กเกจที่ไม่จำเป็น แต่มาตรการเหล่านี้อาจทำให้แอปพลิเคชันทำงานผิดปกติ ต้องทดสอบนอกระบบ production ก่อน และไม่ได้แก้ช่องโหว่ที่ต้นเหตุ เวอร์ชันที่หมดการสนับสนุนไม่ได้ถูกทดสอบกับช่องโหว่ชุดนี้ แต่ Oracle เตือนว่าอาจได้รับผลกระทบเช่นกัน

อัปเดต 23 ต.ค. 2569: เว็บไซต์ SecurityWeek รายงานเมื่อวันที่ 22 ตุลาคม 2569 อ้างการวิเคราะห์ของบริษัท Tenable ว่าแพตช์ 1,295 รายการของ CPU รอบนี้ครอบคลุม CVE ที่ไม่ซ้ำกัน 1,209 รายการ แบ่งเป็นระดับวิกฤต 95 รายการ ระดับสูง 439 รายการ และระดับกลาง 582 รายการ Oracle ยังไม่ระบุว่ามีช่องโหว่ใดในชุดนี้ถูกใช้โจมตีจริง หนึ่งวันหลังประกาศ CPU คือวันที่ 21 ตุลาคม Oracle ออกประกาศและ Security Alert แยกสำหรับ CVE-2026-91403 ซึ่งเป็นการตอบสนองของ Java และ Oracle ต่อเหตุกุญแจ CA ตัวกลางของ eMudhra ที่เดาได้ง่าย (2026/10/190 , 2026/10/236 ) ส่วนรอบถัดไป Oracle จะออก Critical Security Patch Update (CSPU) ในวันที่ 17 พฤศจิกายน และ 15 ธันวาคม ซึ่งออกทุกวันอังคารที่สามของเดือน และ CPU รอบถัดไปกำหนดวันที่ 19 มกราคม 2570

รายละเอียดช่องโหว่

CVE-2026-75803 (CVSS 9.8) อยู่ในคอมโพเนนต์ OpenSSL ของ Oracle Database Server ผู้โจมตีใช้ช่องโหว่ผ่าน TLS ได้โดยไม่ต้องมีข้อมูลรับรองหรือให้ผู้ใช้ทำอะไร และ Oracle ประเมินผลกระทบต่อความลับ ความถูกต้อง และความพร้อมใช้งานในระดับสูงทั้งหมด กระทบรุ่น 19.3 ถึง 19.32 และ 23.4.0 ถึง 23.26.3 CVE เดียวกันนี้ปรากฏใน Oracle Autonomous Health Framework รุ่น 26.3 ถึง 26.8 ด้วย แต่ได้คะแนน 9.1 แสดงว่า CVE เดียวกันอาจมีความรุนแรงต่างกันตามบริบทของผลิตภัณฑ์

CVE-2026-101521 (CVSS 9.8) อยู่ในคอมโพเนนต์ General ของ Oracle APEX โจมตีผ่าน HTTPS ได้โดยไม่ต้องยืนยันตัวตน ความซับซ้อนต่ำ และไม่ต้องให้ผู้ใช้ทำอะไร กระทบ APEX 24.1.0 ถึง 24.1.21, 24.2.0 ถึง 24.2.20 และ 26.1.0 ถึง 26.1.4 อีกช่องโหว่ของ APEX คือ CVE-2026-66010 (CVSS 6.1) ในไลบรารี DOMPurify ที่ฝังมา ซึ่งต้องอาศัยการกระทำของผู้ใช้

Oracle Essbase รุ่น 21.8.3.0.0 มี 4 ช่องโหว่คะแนน 9.9 คือ CVE-2026-91637, CVE-2026-91638, CVE-2026-91658 และ CVE-2026-91663 ซึ่งต้องการสิทธิ์ระดับต่ำ ไม่ต้องให้ผู้ใช้ทำอะไร และโจมตีผ่าน HTTP หรือ T3/IIOP โดยมีผลกระทบสูงทุกด้าน ส่วน CVE-2026-91665 (CVSS 9.8) โจมตีผ่าน TCP ได้โดยไม่ต้องยืนยันตัวตน

ผลกระทบ

ผลิตภัณฑ์ของ Oracle เป็นระบบหลักขององค์กรขนาดใหญ่ ธนาคาร โรงพยาบาล และหน่วยงานรัฐจำนวนมาก ทั้งฐานข้อมูล ระบบ ERP อย่าง E-Business Suite, PeopleSoft และ JD Edwards ไปจนถึง WebLogic ใน Fusion Middleware ช่องโหว่ที่โจมตีได้โดยไม่ต้องยืนยันตัวตนในระบบเหล่านี้เปิดทางให้ขโมยข้อมูลหรือยึดระบบได้โดยตรง ประวัติที่ผ่านมาแสดงว่าผู้โจมตีเล็งผลิตภัณฑ์ Oracle จริง เช่น กรณี zero-day ใน Oracle EBS ที่ถูกใช้ขโมยข้อมูลหลายองค์กร (ดูโพสต์ 2026/09/046) และ ShinyHunters ที่ใช้ zero-day ใน PeopleSoft (ดูโพสต์ 2026/06/081)

ปัญหาเชิงปฏิบัติคือขนาดของ CPU รอบนี้ ทีมไอทีต้องจับคู่เวอร์ชันที่ใช้จริงกับตารางผลิตภัณฑ์ที่ได้รับผลกระทบและ risk matrix ของแต่ละกลุ่ม ซึ่งใช้เวลามาก และการอัปเดตระบบ ERP หรือฐานข้อมูลมักต้องรอรอบหยุดระบบ ช่องว่างระหว่างวันที่แพตช์ออกกับวันที่ติดตั้งจริงจึงเป็นช่วงที่เสี่ยงที่สุด โดยเฉพาะเมื่อผู้โจมตีเริ่มเทียบโค้ดหาจุดที่แก้

คำแนะนำ

  • จับคู่ผลิตภัณฑ์และเวอร์ชันที่ใช้จริงกับตารางใน Oracle Critical Patch Update Advisory ตุลาคม 2569 และ risk matrix ของแต่ละกลุ่ม
  • จัดลำดับแพตช์ให้ Oracle Database Server (CVE-2026-75803), APEX (CVE-2026-101521) และ Essbase ก่อน โดยเฉพาะระบบที่เปิดสู่อินเทอร์เน็ตหรือเครือข่ายที่ไม่น่าเชื่อถือ
  • ระบบที่แพตช์ทันทีไม่ได้ ให้จำกัดการเข้าถึงพอร์ตฐานข้อมูล, T3/IIOP และหน้า APEX เฉพาะเครือข่ายที่จำเป็น และถอดสิทธิ์ที่ไม่ได้ใช้
  • องค์กรที่ข้าม CPU รอบก่อน ๆ ให้ทบทวนประกาศย้อนหลัง เพราะ CPU รอบนี้ไม่ได้รวมแพตช์เก่าในทุกผลิตภัณฑ์
  • วางแผนย้ายระบบที่ใช้เวอร์ชันหมดการสนับสนุนไปยังเวอร์ชันที่ยังได้รับแพตช์
  • ทดสอบมาตรการชั่วคราวนอกระบบ production ก่อนใช้ เพราะอาจกระทบการทำงานของแอปพลิเคชัน
  • ติดตั้งแพตช์ตาม Security Alert CVE-2026-91403 ให้ Java ที่ใช้ในองค์กร เพื่อเลิกเชื่อถือกุญแจ CA ของ eMudhra ที่หลุด

แหล่งอ้างอิง