Actualización de seguridad trimestral de Oracle- Enero 2026

Fecha de publicación: 

Resumen ejecutivo

Oracle ha publicado su Critical Patch Update (CPU) trimestral en enero de 2026, revelando un total de 158 vulnerabilidades identificadas. El análisis se centra en las vulnerabilidades críticas (CVSS >= 9.0) con cve 2025 y 2026, que representan un riesgo significativo para la seguridad de los sistemas Oracle. Entre las vulnerabilidades críticas, se han identificado afectaciones en diversos productos de Oracle, incluyendo Oracle Commerce Guided Search, Oracle Communications Operations Monitor, Oracle Banking Branch, Oracle HTTP Server, Oracle Data Integrator, Oracle Business Process Management Suite, Oracle Weblogic Server Proxy Plug-in, MySQL Server y Oracle Agile Product Lifecycle Management for Process. Estas vulnerabilidades abarcan un rango amplio de aplicaciones y servicios, lo que subraya la necesidad de atención inmediata. De las vulnerabilidades críticas reportadas, varias pueden ser explotadas sin necesidad de autenticación, lo que las hace particularmente peligrosas. La explotación exitosa de estas vulnerabilidades puede resultar en la toma de control total de los sistemas afectados, así como en la creación, eliminación o modificación no autorizada de datos críticos. Para mitigar estos riesgos, se recomienda la aplicación del CPU correspondiente, que incluye parches y actualizaciones diseñados para corregir estas vulnerabilidades. La implementación oportuna de estas medidas es esencial para proteger la integridad y la confidencialidad de los datos, así como para garantizar la continuidad operativa de los servicios de Oracle.

Análisis técnico

Los detalles de las vulnerabilidades críticas (CVSS >= 9.0) de 2025, 2026 son:

  • CVE-2025-66516: Vulnerabilidad en el producto Oracle Commerce Guided Search de Oracle Commerce (componente: Workbench (Apache Tika)). La versión soportada afectada es 11.4.0. La vulnerabilidad, fácilmente explotable, permite a un atacante no autenticado con acceso a la red a través de HTTP comprometer Oracle Commerce Guided Search. Aunque la vulnerabilidad se encuentra en Oracle Commerce Guided Search, los ataques pueden impactar significativamente a productos adicionales (cambio de alcance). Los ataques exitosos de esta vulnerabilidad pueden resultar en la toma de control de Oracle Commerce Guided Search.
    • Severidad: Crítica
    • CVSS: 10.0
    • Producto: Oracle Commerce Guided Search
    • Componente: Workbench (Apache Tika)
    • Versiones afectadas: 11
    • Sin autenticación: Sí
    • Explotabilidad: Fácil
    • Impactos: Confidencialidad, Integridad, Disponibilidad
  • CVE-2026-21962: Vulnerabilidad en el Oracle HTTP Server, Oracle Weblogic Server Proxy Plug-in del producto Oracle Fusion Middleware (componente: Weblogic Server Proxy Plug-in para Apache HTTP Server, Weblogic Server Proxy Plug-in para IIS). Las versiones soportadas que están afectadas son 12.2.1.4.0, 14.1.1.0.0 y 14.1.2.0.0. La vulnerabilidad, que es fácilmente explotable, permite a un atacante no autenticado con acceso a la red a través de HTTP comprometer Oracle HTTP Server, Oracle Weblogic Server Proxy Plug-in. Aunque la vulnerabilidad se encuentra en Oracle HTTP Server, Oracle Weblogic Server Proxy Plug-in, los ataques pueden impactar significativamente a productos adicionales (cambio de alcance). Los ataques exitosos de esta vulnerabilidad pueden resultar en la creación, eliminación o modificación no autorizada de acceso a datos críticos o a todos los datos accesibles de Oracle HTTP Server, Oracle Weblogic Server Proxy Plug-in, así como acceso no autorizado a datos críticos o acceso completo a todos los datos accesibles de Oracle HTTP Server, Oracle Weblogic Server Proxy Plug-in. Nota: La versión afectada para Weblogic Server Proxy Plug-in para IIS es únicamente 12.2.1.4.0.
    • Severidad: Crítica
    • CVSS: 10.0
    • Producto: Oracle HTTP Server, Oracle Weblogic Server Proxy Plug-in
    • Componente: Weblogic Server Proxy Plug-in for Apache HTTP Server, Weblogic Server Proxy Plug-in for IIS
    • Versiones afectadas: 12
    • Sin autenticación: Sí
    • Explotabilidad: Fácil
    • Impactos: Confidencialidad, Integridad
  • CVE-2025-49844: Vulnerabilidad en el producto Oracle Communications Operations Monitor de Oracle Communications (componente: Infrastructure (valkey)). La versión soportada que se ve afectada es 5.2. La vulnerabilidad, fácilmente explotable, permite a un atacante con bajos privilegios y acceso a la red a través de HTTP comprometer Oracle Communications Operations Monitor. Aunque la vulnerabilidad se encuentra en Oracle Communications Operations Monitor, los ataques pueden impactar significativamente a productos adicionales (cambio de alcance). Los ataques exitosos de esta vulnerabilidad pueden resultar en la toma de control de Oracle Communications Operations Monitor.
    • Severidad: Crítica
    • CVSS: 9.9
    • Producto: Oracle Communications Operations Monitor
    • Componente: Infrastructure (valkey)
    • Versiones afectadas: 5
    • Sin autenticación: No
    • Explotabilidad: Fácil
    • Impactos: Confidencialidad, Integridad, Disponibilidad
  • CVE-2025-4949: Vulnerabilidad en el producto Oracle Data Integrator de Oracle Fusion Middleware (componente: Seguridad (Eclipse JGit)). La versión soportada que se ve afectada es 14.1.2.0.0. La vulnerabilidad, que es fácilmente explotable, permite a un atacante no autenticado con acceso a la red a través de HTTP comprometer Oracle Data Integrator. Los ataques exitosos de esta vulnerabilidad pueden resultar en la toma de control de Oracle Data Integrator.
    • Severidad: Crítica
    • CVSS: 9.8
    • Producto: Oracle Data Integrator
    • Componente: Security (Eclipse JGit)
    • Versiones afectadas: 14
    • Sin autenticación: Sí
    • Explotabilidad: Fácil
    • Impactos: Confidencialidad, Integridad, Disponibilidad
  • CVE-2025-54988: Vulnerabilidad en el producto Oracle Business Process Management Suite de Oracle Fusion Middleware (componente: Oracle Business Rules (Apache Commons Compress)). La versión soportada que se ve afectada es 14.1.2.0.0. Una vulnerabilidad fácilmente explotable permite a un atacante no autenticado con acceso a la red a través de HTTP comprometer Oracle Business Process Management Suite. Los ataques exitosos de esta vulnerabilidad pueden resultar en la toma de control de Oracle Business Process Management Suite.
    • Severidad: Crítica
    • CVSS: 9.8
    • Producto: Oracle Business Process Management Suite
    • Componente: Oracle Business Rules (Apache Commons Compress)
    • Versiones afectadas: 14
    • Sin autenticación: Sí
    • Explotabilidad: Fácil
    • Impactos: Confidencialidad, Integridad, Disponibilidad
  • CVE-2025-6965: Vulnerabilidad en el producto MySQL Server de Oracle MySQL (componente: Server: Docker Images (SQLite)). Las versiones soportadas que están afectadas son 8.4.0-8.4.7. Una vulnerabilidad fácilmente explotable permite a un atacante no autenticado con acceso a la red a través de múltiples protocolos comprometer MySQL Server. Los ataques exitosos de esta vulnerabilidad pueden resultar en la toma de control de MySQL Server. Nota: Esta vulnerabilidad se aplica a las imágenes docker del servidor MySQL y SQLite no es utilizado directamente por el servidor MySQL.
    • Severidad: Crítica
    • CVSS: 9.8
    • Producto: MySQL Server
    • Componente: Server: Docker Images (SQLite)
    • Versiones afectadas: 8
    • Sin autenticación: Sí
    • Explotabilidad: Fácil
    • Impactos: Confidencialidad, Integridad, Disponibilidad
  • CVE-2026-21969: Vulnerabilidad en el producto Oracle Agile Product Lifecycle Management for Process de Oracle Supply Chain (componente: Supplier Portal). La versión soportada que se ve afectada es 6.2.4. Esta vulnerabilidad, fácilmente explotable, permite a un atacante no autenticado con acceso a la red a través de HTTP comprometer Oracle Agile Product Lifecycle Management for Process. Los ataques exitosos de esta vulnerabilidad pueden resultar en la toma de control de Oracle Agile Product Lifecycle Management for Process.
    • Severidad: Crítica
    • CVSS: 9.8
    • Producto: Oracle Agile Product Lifecycle Management for Process
    • Componente: Supplier Portal
    • Versiones afectadas: 6
    • Sin autenticación: Sí
    • Explotabilidad: Fácil
    • Impactos: Confidencialidad, Integridad, Disponibilidad
  • CVE-2025-49796: Vulnerabilidad en el producto Oracle Banking Branch de Oracle Financial Services Applications (componente: Reports (libxml2)). Las versiones compatibles afectadas son 14.5.0.0.0, 14.6.0.0.0, 14.7.0.0.0 y 14.8.0.0.0. Esta vulnerabilidad, fácilmente explotable, permite a un atacante no autenticado con acceso a la red a través de HTTP comprometer Oracle Banking Branch. Los ataques exitosos de esta vulnerabilidad pueden resultar en la creación, eliminación o modificación no autorizada de acceso a datos críticos o a todos los datos accesibles de Oracle Banking Branch, así como en la capacidad no autorizada de causar un bloqueo o un fallo repetible frecuente (denegación de servicio completa) de Oracle Banking Branch.
    • Severidad: Crítica
    • CVSS: 9.1
    • Producto: Oracle Banking Branch
    • Componente: Reports (libxml2)
    • Versiones afectadas: 14
    • Sin autenticación: Sí
    • Explotabilidad: Fácil
    • Impactos: Confidencialidad, Integridad, Disponibilidad
  • CVE-2025-23048: Vulnerabilidad en el producto Oracle HTTP Server de Oracle Fusion Middleware (componente: Módulo SSL (Apache HTTP Server)). La versión soportada que se ve afectada es 14.1.2.0.0. Esta vulnerabilidad, fácilmente explotable, permite a un atacante no autenticado con acceso a la red a través de TLS comprometer Oracle HTTP Server. Los ataques exitosos de esta vulnerabilidad pueden resultar en la creación, eliminación o modificación no autorizada de acceso a datos críticos o a todos los datos accesibles de Oracle HTTP Server, así como en el acceso no autorizado a datos críticos o acceso completo a todos los datos accesibles de Oracle HTTP Server.
    • Severidad: Crítica
    • CVSS: 9.1
    • Producto: Oracle HTTP Server
    • Componente: SSL Module (Apache HTTP Server)
    • Versiones afectadas: 14
    • Sin autenticación: Sí
    • Explotabilidad: Fácil
    • Impactos: Confidencialidad, Integridad

Mitigación / Solución

Para prevenir estas vulnerabilidades críticas, se recomienda aplicar el Critical Patch Update (CPU) correspondiente de Oracle en todos los sistemas afectados.

Referencias adicionales

    Compartir