MySQL : Oracle corrige 98 failles dans son CPU d'octobre 2026, dont des CVSS 9,8

Qui est concerné ?

Les serveurs qui utilisent MySQL d'Oracle : 8.4 LTS (jusqu'à 8.4.12), 9.7 LTS (jusqu'à 9.7.3) et l'innovation 26.7 (26.7.0 et 26.7.1). MySQL Cluster 8.0 (jusqu'à 8.0.49) est aussi touché ; MySQL 8.0 est en fin de vie depuis avril 2026. MariaDB n'est pas concernée par cet avis (voir l'article MariaDB sur ce site). Debian n'empaquette plus MySQL : le tracker ne liste que MariaDB.

Risque

Oracle annonce 98 correctifs de sécurité pour MySQL, dont 29 exploitables à distance sans identifiants. Les scores les plus élevés (CVSS 9,8, réseau, sans privilège) sont CVE-2026-9547 (bibliothèque curl à la compilation) et CVE-2025-15467 (OpenSSL, protocole MySQL). Aucune exploitation active n'est annoncée ; ces CVE ne sont pas au catalogue CISA KEV.

Corriger

Installer les versions fournies par le dépôt Oracle (8.4.13 ou 9.7.4 d'après les dernières versions publiées ; la version corrigée de la branche 26.7 est à confirmer), puis redémarrer le service.

mysql --version
apt update && apt install --only-upgrade mysql-server
systemctl restart mysql

Contournement

Limiter l'accès réseau au port 3306 (pare-feu, liste d'IP autorisées) et exiger TLS jusqu'à la mise à jour.

Vérifier

mysql -e "SELECT VERSION();"

Prochains rendez-vous Oracle : 17 novembre et 15 décembre 2026 (correctifs de sécurité), puis CPU du 19 janvier 2027.