A Oracle publicou o Critical Patch Update de outubro de 2026 com uma correção de alta prioridade para a CVE-2026-75803, uma vulnerabilidade no OpenSSL incorporado ao Oracle Database. A falha recebeu pontuação CVSS 9,8 e aparece na matriz da Oracle como explorável remotamente sem autenticação.
O problema não é uma falha exclusiva do código do Oracle Database. Trata-se de uma vulnerabilidade do componente criptográfico OpenSSL que pode estar embutido em produtos Oracle. Por isso, administradores precisam avaliar tanto a versão do banco quanto a versão dos componentes fornecidos pelo pacote Oracle e aplicar o Critical Patch Update correspondente.
O que é a CVE-2026-75803
O registro oficial da CVE descreve uma falha de validação de integridade em operações AEAD — autenticação e criptografia de dados associadas. Quando a API EVP_Cipher() é usada com ciphertext vazio, determinadas operações de descriptografia com ChaCha20-Poly1305 ou AES-OCB podem reportar sucesso sem verificar corretamente a tag de autenticação fornecida.
Na prática, uma aplicação que dependa desse retorno para aceitar uma mensagem pode tratar como válido um conteúdo cuja autenticidade não foi realmente confirmada. O impacto concreto depende de como o componente criptográfico é utilizado pelo produto, mas a falha pode comprometer a garantia de integridade de mensagens em fluxos vulneráveis.
A Oracle lista a vulnerabilidade no componente RDBMS (OpenSSL), com protocolo TLS, sem privilégio requerido e sem autenticação para exploração remota. A matriz atribui 9,8 de CVSS 3.1 e classifica os impactos de confidencialidade, integridade e disponibilidade como altos.
Quais versões do Oracle Database são afetadas
Na matriz do Critical Patch Update de outubro, a Oracle indica os seguintes intervalos de versões suportadas:
- Oracle Database 19.3 até 19.32;
- Oracle Database 23.4.0 até 23.26.3.
O alerta da Oracle também informa que o Critical Patch Update contém 14 novas correções para produtos Oracle Database e que quatro delas podem ser exploradas remotamente sem autenticação. A CVE-2026-75803 é a de maior pontuação entre as entradas destacadas na seção de banco de dados.
O número da versão instalado não deve ser usado de forma isolada para decidir se o ambiente está protegido. A correção pode depender do patch release aplicado, do bundle usado pelo fornecedor, do sistema operacional e da forma como o Oracle Database foi instalado. Consulte a matriz oficial e a documentação do seu pacote antes de concluir que o ativo está corrigido.
OpenSSL também possui versões corrigidas
O registro da CVE, mantido pela OpenSSL Software Foundation, indica correções nas linhas:
- OpenSSL 4.0.2 ou posterior;
- OpenSSL 3.6.4 ou posterior;
- OpenSSL 3.5.8 ou posterior;
- OpenSSL 3.4.7 ou posterior;
- OpenSSL 3.0.22 ou posterior.
Esses números pertencem ao componente OpenSSL. Em um produto Oracle, a correção normalmente deve ser obtida pelo patch oficial da Oracle, e não pela substituição manual de bibliotecas dentro da instalação do banco. Alterar bibliotecas por conta própria pode deixar o ambiente inconsistente e invalidar o suporte do fornecedor.
Quem deve tratar o alerta como prioridade
A prioridade é maior para bancos Oracle com interfaces acessíveis por rede, conexões TLS de aplicações externas, integrações com parceiros, serviços de replicação e ambientes que processam dados sensíveis. Também merecem atenção os servidores que ficam atrás de firewalls, mas aceitam conexões de redes corporativas amplas ou de segmentos com muitos usuários.
Um banco não precisa estar diretamente exposto à internet para representar risco. Um atacante que obtenha acesso a uma rede interna, a um servidor de aplicação ou a uma credencial de serviço pode tentar alcançar o banco por caminhos que não aparecem em uma varredura externa simples.
O que os administradores devem fazer
1. Inventarie os ambientes Oracle. Liste bancos de produção, homologação, contingência, desenvolvimento, appliances, serviços em nuvem e instalações gerenciadas por terceiros. Registre versão, patch level, sistema operacional, listeners, interfaces TLS e redes autorizadas.
2. Consulte a matriz oficial do CPU de outubro. Compare as versões efetivas e os produtos instalados com os intervalos afetados. Não limite a análise ao Oracle Database Server: o mesmo Critical Patch Update cobre produtos como Oracle REST Data Services, WebLogic, componentes de identidade e outros módulos que podem ter correções relevantes.
3. Aplique o patch do fornecedor. Planeje a manutenção, faça backup, valide a restauração e aplique o Critical Patch Update seguindo as instruções da Oracle. Depois do procedimento, confirme a versão dos componentes, reinicie os serviços necessários e repita a verificação.
4. Reduza a exposição enquanto o patch não é possível. Restrinja listeners e serviços TLS a redes necessárias, revise regras de firewall, remova acessos de origem ampla e monitore tentativas de conexão anormais. Essas medidas reduzem a superfície de ataque, mas não substituem a correção.
5. Verifique dependências criptográficas. Identifique aplicações que usam diretamente o OpenSSL, bibliotecas carregadas pelo cliente Oracle, agentes de monitoramento, ferramentas de backup e serviços auxiliares. Um servidor pode permanecer vulnerável mesmo depois de o banco ser atualizado se outro componente ainda carregar uma versão afetada do OpenSSL.
Como investigar possíveis sinais de abuso
Revise logs do listener, autenticação, firewall, proxy e sistema operacional em busca de conexões inesperadas, mudanças de configuração TLS, erros anormais de negociação, origens novas e picos de tráfego. Correlacione os eventos com contas de serviço, aplicações e horários de manutenção.
Se a infraestrutura processa mensagens autenticadas por AEAD, examine rejeições e aceitações fora do padrão. A vulnerabilidade não significa que toda conexão TLS esteja comprometida automaticamente; o cenário depende de uma aplicação ou produto usar o caminho vulnerável. A investigação deve considerar o fluxo criptográfico concreto e os componentes carregados em memória.
Se houver indícios de exploração, preserve logs e imagens do sistema, isole o ativo quando necessário, revise credenciais e tokens acessíveis pelo banco e envolva a equipe responsável por resposta a incidentes. Evite apagar evidências durante uma reinstalação apressada.
Conclusão
A CVE-2026-75803 merece atenção imediata em ambientes Oracle Database afetados porque combina pontuação CVSS 9,8 com exploração remota sem autenticação indicada na matriz da Oracle. Embora a origem técnica esteja no OpenSSL, a correção em produtos Oracle deve ser aplicada pelo canal oficial do fornecedor.
As ações prioritárias são inventariar as instalações, comparar as versões com o CPU de outubro de 2026, aplicar os patches, revisar outros componentes que carregam OpenSSL e reduzir temporariamente a exposição dos serviços TLS. Administradores também devem registrar a correção e confirmar que os processos realmente reiniciaram com as bibliotecas atualizadas.
Fontes primárias
Oracle: Critical Patch Update Advisory — October 2026.
CVE.org: CVE-2026-75803 — AEAD Forgeries with Empty Ciphertext When Using EVP_Cipher().