Oracle sfonda il tetto dei mille patch: il vulnerability management enterprise

Oracle ha pubblicato il 21 luglio 2026 un Critical Patch Update da 1.449 correzioni di sicurezza, quasi triplicando il precedente record storico di 520 patch dell'aprile 2022. L'evento, analizzato indipendentemente da UpGuard su 23 advisories storici Oracle e contestualizzato da The Register con dettagli tecnici su CVE critiche e reazioni di NCSC-NL, non segnala un peggioramento qualitativo del codice: indica piuttosto che la capacità di detection delle vulnerabilità ha superato la capacità operativa di chi deve patcharle.

1.449 patch: i numeri che ridisegnano la scala del problema

UpGuard ha confrontato sistematicamente le CVE del luglio 2026 con i due CSPU mensili precedenti: solo 27 CVE, l'1,8% del totale, erano già apparse nei rilasci di maggio e giugno. Il record non è quindi un'artificiosa concentrazione di patch già distribuite, ma un flusso nuovo e aggiuntivo. Il metodo di parsing ha verificato anche ipotesi alternative: che si trattasse di un accumulo di terze parti, di un backlog storico, di ripetizioni contabili. Tutte e quattro le ipotesi sono risultate infondate.

La distribuzione temporale è altrettanto rivelatrice. Solo il 5,2% delle CVE di luglio aveva più di un anno di età al momento della patch, contro una media storica del 24,0%. Le vulnerabilità sono fresche: scoperte, divulgate e corrette nel giro di mesi, non anni. Questo accelera il ciclo di vita della minaccia e comprime la finestra di remediation disponibile per i team di sicurezza.

"Frankly, the real story isn't the sheer volume of bugs, but rather the immense operational strain this puts on enterprise IT teams who must now race to separate the critical threats from the routine fixes without breaking business operations" — Dray Agha, senior manager security operations, Huntress

Il peso del codice proprietario e il ruolo non verificabile dell'IA

L'analisi di UpGuard distingue nettamente tra codice Oracle e componenti terze parti. Il risultato: 1.110 CVE su 1.449, pari al 76,6%, sono assegnate dalla CNA Oracle e riguardano codice proprietario. La quota storica di terze parti, che mediamente si attestava al 66,8%, si è quindi capovolta. Oracle non sta più patchando principalmente vulnerabilità altrui: sta scoprendo e correggendo bug proprii a un ritmo senza precedenti.

Il 95% di questi fix non accredita alcun ricercatore esterno. Questo dato, combinato con il salto quantitativo registrato dopo l'annuncio Oracle di strumenti AI-assisted per la sicurezza nell'aprile 2026, alimenta l'ipotesi di una detection automatizzata o semi-automatizzata. UpGuard ha tuttavia inserito un caveat esplicito nella propria analisi: "The correlation is strong, but no independent party has verified that AI is the cause". La correlazione temporale esiste; la causalità non è provata.

Microsoft ha comunque messo in guardia che l'integrazione dell'IA nella detection delle vulnerabilità renderà i defender "più occupati, non meno", secondo quanto riportato da The Register. Adobe ha annunciato due rilasci mensili a partire dal 2026 per tenere il passo con il nuovo regime di disclosure. Il settore sta convergendo verso una frequenza di patching che i processi enterprise attuali non sono strutturati per assorbire.

Le CVE critiche: dieci patch con CVSS 10, due sotto osservazione NCSC-NL

Dentro il mare di 1.449 patch, dieci raggiungono il punteggio massimo CVSS 10.0 e tutte si concentrano in Oracle Fusion Middleware. Due di esse sono state evidenziate dal National Cyber Security Center dei Paesi Bassi (NCSC-NL) come particolarmente pericolose.

La CVE-2026-47056 riguarda Oracle Data Integrator e consente attacco non autenticato via HTTP. La CVE-2026-60217 colpisce Oracle Coherence ed è raggiungibile via TCP, sempre senza autenticazione. Il centro olandese ha descritto entrambe come "easily exploitable", con rischio di esecuzione di codice maligno, accesso a dati sensibili o totale compromissione del sistema. La formulazione di NCSC-NL è precisa: "the risk of exploitation is high". Non emerge tuttavia conferma di exploitation attiva in-the-wild al momento della pubblicazione.

Altre due CVE segnalate da The Register meritano attenzione per il contesto di attacco. La CVE-2026-61211, con CVSS 9.9, risiede in DBMS_CLOUD e permette remote code execution e takeover del RDBMS a un attaccante con privilegi bassi. La CVE-2026-47040, con CVSS 9.1, colpisce Oracle Net Service e consente accesso a dati stored oltre a crash persistenti del servizio. La superficie di attacco non è teorica: interessa componenti di rete e database centrali per l'architettura Oracle enterprise.

Cosa fare adesso

• Priorizzare le dieci patch CVSS 10.0 in Oracle Fusion Middleware e le due CVE segnalate da NCSC-NL, con particolare attenzione a Data Integrator e Coherence esposti su HTTP/TCP senza autenticazione.
• Valutare la separazione operativa tra il ciclo quarterly tradizionale e i CSPU mensili: Oracle dichiara che gli aggiornamenti cumulative del quarterly coesistono con i CSPU per i fix critici più rapidi, e la scelta di applicazione richiede una mappatura del proprio perimetro on-premises.
• Analizzare il proprio stack Oracle per identificare quali dei 1.449 fix riguardano codice proprietario effettivamente deployato, dato che il 76,6% delle CVE è specifico Oracle e non generico componente terza parte.
• Allineare i processi di vulnerability management alla nuova scala di disclosure: la media di 390 patch per quarter è superata di un fattore 3,7, e i meccanismi di triage CVE-per-CVE rischiano di diventare un collo di bottiglia operativo.

Perché il modello di patching sta cambiando struttura

Oracle ha risposto al proprio aumento di volume con un'architettura ibrida: il quarterly CPU rimane, ma i CSPU mensili ne accelerano i fix critici. Il primo CSPU, a maggio 2026, ha risolto 77 vulnerabilità. Il secondo, a giugno, è salito a 245. Il luglio ha assorbito entrambi i ritmi in un singolo evento da 1.449 patch. La domanda non è più se i vendor debbano patchare di più, ma se i clienti possano patchare abbastanza velocemente per mantenere la protezione effettiva.

Il divario tra vulnerabilità divulgate e vulnerabilità remediate si allarga. L'AI-assisted detection, che che sia o meno la causa diretta del salto Oracle, è una tecnologia matura e diffusa: altri vendor la stanno integrando. Il volume di patch crescerà. La capacità operativa dei team enterprise non cresce allo stesso modo. In questo scollamento risiede il nucleo del problema: non la quantità di bug, ma la misura della distanza tra ciò che viene scoperto e ciò che viene effettivamente corretto in produzione.

Fonti

• https://www.theregister.com/security/2026/07/23/oracle-drops-1449-security-patches-like-its-the-new-normal/5277114
• https://www.upguard.com/blog/oracle-just-shipped-1-449-security-patches-in-one-quarter-we-checked-how-much-of-it-is-actually-new
• https://msrc.microsoft.com/blog/2024/06/toward-greater-transparency-unveiling-cloud-service-cves/
• https://www.helpnetsecurity.com/2026/07/10/july-2026-patch-tuesday-forecast/
• https://www.securityweek.com/oracle-releases-520-new-security-patches-april-2022-cpu/
• https://www.securityweek.com/oracles-first-monthly-patches-resolve-77-vulnerabilities/
• https://www.securityweek.com/oracles-second-monthly-security-updates-deliver-245-patches/