🚨 Alerta crítica: Se ha identificado la vulnerabilidad CVE-2026-60369 en Oracle Platform Security for Java, con una puntuación CVSS de 9.9. Esta vulnerabilidad permite a un atacante con pocos privilegios comprometer completamente el sistema afectado. Oracle ya ha publicado una actualización de seguridad. Se recomienda aplicar el parche de forma urgente.
Índice
Resumen ejecutivo
| Campo | Valor |
|---|---|
| CVE | CVE-2026-60369 |
| Fabricante | Oracle |
| Producto | Oracle Platform Security for Java (parte de Oracle Fusion Middleware) |
| Fecha de publicación | 2026-07-22 |
| Severidad | CRÍTICA |
| CVSS | 9.9 (CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H) |
| Puntuación de prioridad | 200 |
| Acción recomendada | Revisar el aviso oficial del fabricante y aplicar la actualización o mitigación publicada. |
¿Qué es la vulnerabilidad?
La CVE-2026-60369 es una vulnerabilidad crítica en el producto Oracle Platform Security for Java, un componente de Oracle Fusion Middleware. Según la descripción oficial, la vulnerabilidad reside en el componente Centralized Thirdparty Jars y permite a un atacante con pocos privilegios (autenticación baja) y acceso a la red mediante HTTP comprometer el sistema de forma completa.
La vulnerabilidad es fácilmente explotable y tiene un impacto que trasciende el producto original (cambio de alcance), lo que significa que los ataques exitosos pueden afectar significativamente a otros productos de Oracle. Un ataque exitoso puede resultar en la toma total del control del Oracle Platform Security for Java, comprometiendo la confidencialidad, integridad y disponibilidad de los datos y sistemas.
Productos y versiones vulnerables
Según las fuentes consultadas, las versiones afectadas son las siguientes:
| Producto | Versión | Estado |
|---|---|---|
| Oracle Platform Security for Java | 12.2.1.4.0 | Afectada |
| Oracle Platform Security for Java | 14.1.2.0.0 | Afectada |
Impacto y riesgo
La vulnerabilidad tiene una puntuación CVSS de 9.9 (CRÍTICA). El vector de ataque es remoto (AV:N), la complejidad del ataque es baja (AC:L), se requieren privilegios bajos (PR:L), no se necesita interacción del usuario (UI:N) y el alcance es cambiante (S:C), lo que implica que el impacto puede extenderse a otros sistemas. Los impactos en confidencialidad, integridad y disponibilidad son altos (C:H/I:H/A:H).
Los riesgos incluyen la toma de control del sistema, fuga de datos sensibles, modificación no autorizada de datos y denegación de servicio. Dado que la explotación es remota y fácil, se considera una amenaza grave para las organizaciones que utilicen las versiones afectadas.
Estado de explotación conocida
No hay información pública de explotación activa en las fuentes consultadas. La selección de esta vulnerabilidad se ha basado en su criticidad (CVSS 9.9) y su reciente publicación, no en evidencia de explotación en curso. No obstante, se recomienda aplicar la actualización de forma preventiva.
Indicadores de compromiso (IOC)
No se han publicado indicadores de compromiso (IOC) en las fuentes oficiales consultadas. No deben inventarse.
Cómo comprobar si estás afectado
Para determinar si tu instalación está afectada, verifica la versión de Oracle Platform Security for Java que estás utilizando. Las versiones vulnerables son 12.2.1.4.0 y 14.1.2.0.0. Consulta la documentación del producto o la consola de administración de Oracle Fusion Middleware para identificar la versión instalada. Si estás utilizando una versión no listada, no se puede confirmar la vulnerabilidad según las fuentes actuales.
Mitigación y actualización
Oracle ha publicado un parche de seguridad como parte de su Critical Patch Update de julio de 2026. Se recomienda encarecidamente aplicar la actualización proporcionada por Oracle. Puedes descargar el parche desde el sitio oficial de Oracle a través de la siguiente referencia:
Si no es posible aplicar el parche de inmediato, consulta las mitigaciones temporales proporcionadas por Oracle en su aviso de seguridad.
Checklist para administradores
- ☐ Identificar las versiones de Oracle Platform Security for Java en los sistemas gestionados.
- ☐ Verificar si alguna versión coincide con 12.2.1.4.0 o 14.1.2.0.0.
- ☐ Acceder al aviso oficial de Oracle en https://www.oracle.com/security-alerts/cpujul2026.html.
- ☐ Planificar la aplicación del parche en una ventana de mantenimiento adecuada.
- ☐ Probar la actualización en un entorno de preproducción antes de desplegarla en producción.
- ☐ Monitorizar posibles indicios de compromiso o actividad anómala.
Preguntas frecuentes
¿Qué es CVE-2026-60369?
Es una vulnerabilidad crítica en Oracle Platform Security for Java, un componente de Oracle Fusion Middleware, que permite a un atacante remoto con pocos privilegios tomar el control del sistema.
¿Qué versiones están afectadas?
Las versiones vulnerables son 12.2.1.4.0 y 14.1.2.0.0 según las fuentes oficiales.
¿Cuál es la puntuación CVSS?
La puntuación CVSS v3.1 es de 9.9 (CRÍTICA).
¿Hay exploit público disponible?
No se ha publicado información sobre exploit público en las fuentes consultadas.
¿Cómo puedo protegerme?
Aplicando el parche de seguridad de Oracle de julio de 2026 disponible en su web oficial.
¿Dónde puedo encontrar más información?
En las fuentes oficiales listadas a continuación, especialmente el aviso de Oracle y la página de NVD.