En bref
- Le fait. Le 20 octobre 2026, Oracle a publié son « Critical Patch Update » trimestriel d'octobre, qui regroupe 1295 nouveaux correctifs de sécurité pour l'ensemble de ses produits. Trois familles concernent directement les petites structures : Java SE, la base de données MySQL et le logiciel de virtualisation VirtualBox. Aucune exploitation n'est signalée. Le CERT-FR a publié le 21 octobre les avis CERTFR-2026-AVI-1350 (Java SE), CERTFR-2026-AVI-1351 (MySQL) et CERTFR-2026-AVI-1354 (virtualisation). Source : bulletin Oracle d'octobre 2026.
- Êtes-vous concerné ? Oui, si des postes ou des serveurs utilisent Java (souvent requis par des logiciels métier), si votre site ou votre application s'appuie sur MySQL, ou si des postes utilisent VirtualBox.
- Quoi faire :
- faites mettre à jour Java sur les postes et serveurs qui en ont besoin, et désinstallez-le là où il ne sert plus ;
- demandez à votre hébergeur ou à votre prestataire si votre base MySQL est passée à une version corrigée (8.4.13 pour la branche 8.4) ;
- mettez à jour VirtualBox en 7.2.22 sur les postes concernés.
- Urgence : critique pour MySQL (failles notées 9.8 sur 10 par Oracle, exploitables à distance sans authentification) ; haute pour Java et VirtualBox. Prochaine mise à jour trimestrielle Oracle : 19 janvier 2027.
Détail technique
Java SE (55 correctifs, dont 49 exploitables à distance sans authentification). Score CVSS maximal : 7.5 (CVE-2026-91484, composant Java plugin de Java 8, et CVE-2026-43660, composant WebKitGTK de JavaFX). Versions supportées évaluées par Oracle : 8u503, 11.0.32.1, 17.0.20.1, 21.0.12.1, 25.0.4.1, 26.0.2 et 27. Oracle a publié le 20 octobre les versions 8u511, 11.0.33, 17.0.21, 21.0.13 et 25.0.5 (notes de version de Java 25.0.5). Les distributions OpenJDK d'autres éditeurs publient leurs propres mises à jour.
MySQL (98 correctifs, dont 29 exploitables à distance sans authentification). Les scores les plus élevés, 9.8, concernent des composants tiers intégrés : curl (CVE-2026-9547) et OpenSSL (CVE-2025-15467), dans MySQL Server et MySQL Enterprise Backup. Versions de MySQL Server concernées : 8.4.0 à 8.4.12, 9.7.0 à 9.7.3 et 26.7.0 à 26.7.1. La version 8.4.13 a été publiée le 20 octobre (notes de version MySQL 8.4.13). Pour les branches 9.7 et 26.7, se reporter au bulletin Oracle et aux notes de version MySQL.
VirtualBox (6 correctifs, aucun exploitable à distance sans authentification). Score maximal : 8.4 (CVE-2026-87322 et CVE-2026-87301). Versions évaluées : 7.2.16 et 7.2.20. La version 7.2.22 a été publiée le 20 octobre (journal des modifications VirtualBox).
Autres produits. Le bulletin couvre aussi Oracle Database, WebLogic, PeopleSoft et de nombreux produits d'entreprise ; les organisations qui les utilisent doivent se référer au bulletin complet.
KEV. Non : aucune de ces CVE ne figure au catalogue KEV de la CISA (version du 21 octobre 2026).
Vérifier sa version. Java : commande java -version dans un terminal, ou Panneau de configuration Java sous Windows. MySQL : requête SELECT VERSION();. VirtualBox : menu Aide, À propos de VirtualBox.