企业数据库安全领域迎来一次重要调整。Oracle 在上周正式启动了全新的月度关键安全补丁更新（CSPU）机制，首批补丁已经落地，专门针对那些等不到季度更新就必须处理的紧急漏洞。这次修复清单上共有 35 个安全缺陷，其中部分漏洞的利用代码早已在外流传，对企业数据资产构成了现实威胁。
从风险等级来看，这批漏洞的分布并不乐观。11 个被评定为"严重"级别，18 个属于"高危"，剩下 6 个为"中等"风险。真正让人警觉的是那 10 个满分或接近满分的严重漏洞，它们分布在 Oracle REST 数据服务、E-Business Suite、通用工作队列门户以及 Oracle Payments 等核心组件中。一旦这些入口被攻破，攻击者可以直接触达企业最核心的数据库层。
REST 数据服务在这次补丁中成了重灾区。CVE-2026-46840 这个漏洞拿到了 CVSS 10 分的满分评级，影响范围覆盖 24.2.0 到 26.1.0 版本的后端即服务组件。这个组件原本的作用是通过 API 把企业数据库安全地暴露给外部应用，但漏洞的存在让未经身份验证的攻击者能够通过 HTTPS 直接接管网关。换句话说，它相当于给企业数据库开了一扇没有锁的后门。另外两个 REST 数据服务核心漏洞 CVE-2026-46775 和 CVE-2026-46839 评分为 9.9，虽然利用门槛稍高、需要网络凭证，但一旦被突破，后果同样不堪设想。
不过，安全团队在排优先级的时候，除了看 CVSS 分数，还得考虑"漏洞是否已经被武器化"。目前市面上已经流传出概念验证代码的几个老漏洞，反而更应该被优先处理。Oracle Communications Unified Assurance 网络管理组件中的 CVE-2025-15467、CVE-2025-58050 和 CVE-2026-25646 就是典型例子。这三个漏洞都涉及 Oracle 产品中嵌入的开源组件，其中 CVE-2025-58050 早在去年 8 月就被公开，直到这次月度补丁才得到修复。这个长达数月的空窗期，再次暴露了现代软件供应链中第三方组件安全治理的棘手难题。
Oracle 把这次调整称为"第三个星期二"计划。从今年开始，除了传统的季度关键补丁更新（CPU），公司会在每个月的第三个星期二额外发布一次 CSPU。接下来的四个时间点已经确定：6 月 16 日、7 月 21 日、8 月 18 日和 9 月 15 日。按照官方说法，月度补丁采用"更小、更集中"的打包方式，只针对高优先级漏洞，目的是降低补丁部署对企业生产环境的干扰，同时让安全团队不必再为几个紧急漏洞苦等三个月。
这个节奏上的变化，让 Oracle 的补丁发布周期与微软、Adobe 等主流厂商保持了一致。业内普遍认为，这是对当前高危漏洞披露数量持续攀升的直接回应。过去那种"一季度一更"的模式，在面对零日漏洞和公开利用代码时显得越来越吃力。缩短补丁周期，本质上是在压缩攻击者的利用窗口。
值得一提的是，Oracle 此前曾宣布获得了 OpenAI 的 Trusted Access for Cyber 以及 Claude Mythos 等 AI 漏洞挖掘系统的访问权限，但 5 月份发现的这批漏洞与这些自动化工具并无关联。这意味着当前的安全威胁更多来自传统攻击面，而非 AI 驱动的漏洞研究。
对于使用 Oracle 云服务的企业来说，补丁安装是自动完成的，无需手动干预。但本地部署和混合架构的客户，则需要密切关注每个月的"第三个星期二"，在测试环境验证后尽快推送到生产系统。特别是那些对外提供 API 服务、依赖 REST 数据服务做数据库网关的企业，建议把这次补丁的优先级提到最高——毕竟一个满分漏洞的修复，永远不值得拖延。
