A Oracle publicou seu Critical Patch Update (CPU) de julho de 2026, um pacote recorde que inclui 1.449 patches para remediar mais de 1.200 vulnerabilidades em seus produtos, incluindo bancos de dados, middleware, serviços em nuvem e aplicações empresariais . Este é agora o maior CPU já lançado pela empresa, refletindo não apenas a complexidade de seus produtos, mas também a nova realidade impulsionada por sistemas de IA de ponta, que estão acelerando drasticamente a descoberta e o desenvolvimento de explorações de vulnerabilidades .
De acordo com a publicação, uma parcela significativa das falhas corrigidas é explorável remotamente pela rede sem autenticação, afetando alvos de alto valor como Oracle Database Server, Fusion Middleware, MySQL, E-Business Suite, JD Edwards e plataformas de comunicações . A exploração bem-sucedida pode permitir execução remota de código, acesso não autorizado a dados sensíveis, escalonamento de privilégios ou interrupção de serviços críticos . Entre as tecnologias afetadas estão o Oracle Database Server (versões 19c, 21c, 23c), componentes do Fusion Middleware (como Access Manager e Coherence), MySQL Server e suas ferramentas associadas, além de sistemas verticais para setores bancários e de telecomunicações.
IA como ferramenta de defesa e alerta sobre o ritmo dos ataques
A Oracle revelou que integrou acesso a sistemas de IA de ponta, incluindo o Claude Mythos Preview da Anthropic e modelos da OpenAI, em seus fluxos de trabalho de detecção e remediação de vulnerabilidades. Esses modelos são usados para analisar continuamente o software desenvolvido pela Oracle, sistemas de saúde e componentes de código aberto, permitindo identificar falhas em maior velocidade e escala . A empresa já havia anunciado anteriormente que o volume de patches no CPU de julho é, em parte, um resultado direto da caça a vulnerabilidades em velocidade de máquina. Como resposta a esse novo ritmo de descoberta, a Oracle também decidiu introduzir atualizações mensais de segurança (CSPUs) para questões de alta prioridade, complementando seus CPUs trimestrais tradicionais .
A Oracle adverte que atacantes estão explorando ativamente vulnerabilidades para as quais já existem patches, especialmente em ambientes com versões não suportadas ou que atrasam a aplicação dos CPUs. Em um cenário acelerado por IA, o intervalo entre a divulgação e a aplicação do patch tornou-se a janela crítica que os adversários exploram. Para as equipes de segurança, este CPU recorde é um sinal claro para priorizar a correção de ativos Oracle com exposição à internet, integrar os novos CSPUs mensais e os CPUs trimestrais nos SLAs de gerenciamento de vulnerabilidades, e considerar a aplicação de controles compensatórios (como WAF e segmentação de rede) onde a aplicação imediata de patches for operacionalmente difícil.
