Oracle a extins pe 30 octombrie 2026 alerta privind certificatele eMudhra la patru familii suplimentare de produse: Database Server, Autonomous Health Framework, OPatch și Hospitality Cruise SPMS. Este o actualizare a ariei afectate de CVE-2026-114820, nu anunțul unei vulnerabilități descoperite astăzi. Alerta inițială datează din 24 octombrie. Istoricul și matricea Oracle
Ce s-a schimbat pentru administratori
Revizia include Database Server 19.3–19.32, 21.3–21.23 și 23.4.0–23.26.3; Autonomous Health Framework 26.3–26.10; OPatch 12.2.0.1.16–12.2.0.1.52; respectiv SPMS 23.3.4, 23.3.5 și 23.3.6. Pentru Database Server, Oracle precizează că patchul nu se aplică instalărilor care au exclusiv clientul bazei de date. Documentația de instalare și disponibilitate a patchurilor este legată din advisory și poate necesita autentificare în suportul Oracle. Sursa
Riscul: încredere acordată unor certificate nesigure
Microsoft explică faptul că opt chei ale unor autorități de certificare intermediare eMudhra au fost generate suficient de slab încât să poată fi recuperate. Certificatele asociate pot facilita impersonarea unor site-uri, interceptarea comunicațiilor sau prezentarea de software malițios ca provenind de la un editor de încredere. Compromiterea cheilor nu este, în sine, un defect software; problema aplicațiilor este continuarea încrederii în lanțurile afectate. Explicația MSRC, 30 octombrie
Înregistrarea oficială CVE, publicată pe 24 octombrie, confirmă produsele Java SE și GraalVM și scorul atribuit de Oracle: CVSS 3.1 — 9,1, critic, vector CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N. Evaluarea descrie acces prin rețea, fără privilegii sau interacțiunea utilizatorului, cu impact ridicat asupra confidențialității și integrității. Aceste condiții nu demonstrează automat exploatarea efectivă a unei anumite instalări. Înregistrarea CVE, distribuită oficial de CVE Program
Ce trebuie făcut
- Inventariați și copiile Java încorporate în produse, nu doar runtime-ul principal al sistemului. Extinderea listei Oracle arată de ce verificarea unei singure instalări poate fi insuficientă.
- Aplicați patchul recomandat pentru produsul și ramura folosite. Oracle cere instalarea fără întârziere a actualizărilor disponibile; nu presupuneți că un număr de versiune Java poate fi folosit drept instrucțiune universală pentru toate produsele. Anunțul Oracle
- Dacă actualizarea JDK este temporar imposibilă, consultați procedura Oracle pentru eliminarea certificatelor relevante ori verificarea revocării. Faceți întâi backup al depozitului de certificate, testați dependențele și reporniți instanțele runtime conform instrucțiunilor; repetați pentru fiecare instalare. Ghidul tehnic Oracle
- Verificați aplicațiile cu depozite proprii de certificate și imaginile container. O actualizare a sistemului de operare nu le modifică automat. MSRC
Prioritatea practică este eliminarea încrederii vulnerabile fără a pierde din vedere aplicațiile dependente. Nu prezentăm compromiterea cheilor drept dovadă că toate produsele Oracle enumerate au fost deja atacate.
Imagine principală: ilustrație conceptuală generată cu AI pentru CyberJurnal; nu reprezintă un incident fotografiat.
