Red Hot Cyber
Sicurezza Informatica, Notizie su Cybercrime, Analisi Vulnerabilità e Intelligenza Artificiale
Oracle ha pubblicato un aggiornamento di sicurezza con 1449 correzioni, tra cui la critica CVE-2026-60358 nel meccanismo di autenticazione di Oracle Access Manager. La vulnerabilità, scoperta da Oracle stessa, permette attacchi senza password o intervento dell'utente e ha un punteggio massimo di 10 su 10.
Stiamo assistendo ad una valanga di bug di sicurezza pubblicati dai big player americani. Microsoft ha rilasciato questo mese un Patch Tuesday con numeri mai visti prima con 622 bug di sicurezza fixate. Oracle non è da meno, con il pacchetto di luglio che contiene 1449 correzioni di bug di sicurezza.
Il ritardo di Oracle negli aggiornamenti di luglio potrebbe lasciare i sistemi di accesso aziendali esposti agli attacchi. La vulnerabilità più pericolosa, il CVE-2026-60358, è nascosta nel meccanismo di autenticazione di Oracle Access Manager. L’aggressore necessita solo dell’accesso alla rete tramite HTTP; non sono richieste condizioni complesse o autorizzazione preventiva. L’errore ha ricevuto un punteggio massimo di 10 su 10 e rischia di compromettere completamente la riservatezza, l’integrità e la disponibilità del sistema. Il problema riguarda Oracle Access Manager 12.2.1.4.0 e 14.1.2.1.0.
Il pacchetto di luglio, come abbiamo visto, contiene 1449 nuove correzioni per decine di prodotti aziendali. Le patch risolvono i bug sia nel codice Oracle che nei componenti integrati di terze parti. L’azienda ricorda che gli aggiornamenti sono solitamente di natura cumulativa, ma l’ultimo bollettino descrive solo le modifiche apportate rispetto al rilascio precedente.
Oracle E-Business Suite ha ricevuto il maggior numero di correzioni. Per la piattaforma sono state preparate 410 patch, con 45 vulnerabilità che consentono attacchi remoti senza account. Poi arriva Oracle Fusion Middleware con 355 correzioni.
In 219 casi l’aggressore non necessita nemmeno di autorizzazione. Sono state rilasciate 84 patch per PeopleSoft, 72 per la famiglia Database Products, 54 per MySQL, 45 per Siebel CRM e 39 per Oracle Commerce.
Lo stesso Oracle Database Server ha ricevuto 15 nuove correzioni. Sei vulnerabilità chiuse potrebbero essere attaccate in rete senza credenziali e tre patch sono previste anche per installazioni client senza server database. Oracle Java SE ha ricevuto 19 correzioni, di cui 17 correlate a problemi sfruttabili in remoto senza autenticazione. L’aggiornamento copre i rami supportati di Java 8, 11, 17, 21, 25 e 26, nonché diverse versioni di GraalVM.
Tra i problemi più pericolosi ci sono le vulnerabilità con punteggi di 9,8 e 9,9 punti. Errori critici rilevati in PeopleSoft, TimesTen In-Memory Database, Oracle Commerce, Application Testing Suite, Primavera, Hospitality e Retail Solutions. Molti attacchi non richiedono password, interazione con l’utente o preparazione complessa. Lo sfruttamento efficace delle singole vulnerabilità consente il furto e la modifica dei dati, l’interruzione dei servizi o la completa compromissione di un componente vulnerabile.
Una parte significativa delle correzioni riguarda le librerie di terze parti fornite da Oracle con i suoi prodotti. Apache Log4j, Netty, Spring Framework, Apache Kafka, OpenSSL, urllib3, Jackson e altri componenti comuni si trovano regolarmente nelle tabelle. Pertanto, una versione protetta di una singola libreria nel sistema non garantisce che una copia vulnerabile non venga lasciata all’interno dell’applicazione aziendale Oracle.
Oracle ha pubblicato la prima versione della newsletter di luglio il 21 luglio 2026. Già il 23 luglio l’azienda ha rilasciato la seconda edizione e ha chiarito l’elenco delle versioni interessate di Oracle Access Manager e Oracle E-Business Suite. Gli amministratori dovrebbero rivedere nuovamente le matrici di rischio, anche se una valutazione preliminare dell’infrastruttura è stata eseguita immediatamente dopo il rilascio dell’aggiornamento.
Servono innanzitutto patch per sistemi di autenticazione, server e applicazioni accessibili da Internet, dove le vulnerabilità elencate consentono un attacco senza credenziali.
Betti RHC, la prima graphic novel al mondo dedicata alla cybersecurity awareness, ha finalmente il suo sito ufficiale. Uno spazio tutto suo dove scoprire il progetto, sfogliare le copertine degli episodi e immergersi nel mondo di Betti: la giovane laureanda in informatica che, dopo la morte misteriosa del padre, si trasforma nell'hacker più potente del mondo. Una storia avvincente che, episodio dopo episodio, affronta una minaccia digitale diversa — dal phishing al ransomware, fino al cyberbullismo — e insegna a riconoscerla e a difendersi, senza che sembri mai una lezione.
Sul sito trovate tutto ciò che rende Betti un progetto diverso dal solito: la sua filosofia, le anteprime delle tavole e il racconto di come nasce ogni volume. Perché dietro Betti RHC c'è solo lavoro umano: ogni tavola è disegnata interamente a mano dagli artisti del Gruppo Arte di Red Hot Cyber, senza alcun uso di intelligenza artificiale. E a garantire che ogni storia sia realistica e tecnicamente corretta c'è la supervisione degli hacker etici del gruppo HackerHood, che mantengono il racconto fedele al mondo reale della sicurezza informatica.
C'è spazio anche per le aziende, che possono usare Betti come strumento di awareness diverso dai soliti corsi: acquistare i volumi, personalizzarli con il proprio brand o sponsorizzare nuovi episodi. E come primo regalo, l'episodio "Byte the Silence", dedicato al cyberbullismo, è scaricabile gratuitamente per uso personale.
Perché la miglior difesa, in fondo, è una bella storia. 👉 Scopri tutto su https://betti.redhotcyber.com/