Oracle stopft 1.209 Lücken mit 112 kritischen Patches

Oracle hat mit seinem Oktober-Update 1.295 neue Sicherheitspatches veröffentlicht, von Datenbanken und Java bis zu Fusion Middleware und E-Business Suite. Der Hersteller empfiehlt Kunden die unverzügliche Installation. Welche Auswirkungen eine behobene Lücke hat, hängt nach Einschätzung von GARR CERT vom Produkt, der Komponente und der Systemkonfiguration ab.

Verwandt: PHP-Exploits sind öffentlich, Hoster müssen jetzt patchen  ·  Google und Apple vertrauten erratbaren eMudhra-Schlüsseln

Umfang des Oktober-Updates

Am 20. Oktober hat Oracle sein Oktober-Update 2026 veröffentlicht. Das Paket enthält 1.295 neue Sicherheitspatches für Betreiber der betroffenen Produktfamilien. Die Patches verteilen sich über das gesamte Portfolio, von der Datenbank bis zu den Fachanwendungen.

Oracle Fusion Middleware erhält 206 neue Patches. Unter diesem Namen fasst Oracle seine Middleware zusammen, also die Softwareschicht zwischen Datenbank und Fachanwendung, zu der etwa Anwendungsserver gehören. Die E-Business Suite kommt auf 194 Patches. Sie ist Oracles Paket betriebswirtschaftlicher Unternehmensanwendungen. Für Java SE, die Standardausgabe der Java-Plattform, sind es 55 Patches. Der Database Server erhält 14 neue Sicherheitspatches, hinzu kommen weitere Drittanbieter-Patches.

Patches und CVEs im Vergleich

Die Zahl der Patches deckt sich nicht mit der Zahl der Schwachstellen. Nach Auswertung von Tenable behebt das Oktober-Update 1.209 unterschiedliche CVEs. CVE steht für Common Vulnerabilities and Exposures. Das öffentliche Verzeichnis weist jeder bekannten Schwachstelle eine eindeutige Kennung zu.

Oracle führt produktübergreifende Schwachstellen im Oktober-Update mehrfach unter derselben CVE-Kennung auf. Eine solche Schwachstelle taucht in der Übersicht also bei mehreren Produkten auf, trägt aber jedes Mal dieselbe Kennung. Wer den eigenen Bestand gegen die Übersicht abgleicht, stößt bei diesen Lücken deshalb mehrfach auf dieselbe Nummer. Patchzählung und CVE-Zählung bilden damit unterschiedliche Größen ab.

Kritische Einstufung bei 112 Patches

Nach derselben Auswertung tragen 112 der 1.295 Sicherheitspatches die Einstufung kritisch. Diese Einstufung bezieht sich auf die Schwachstelle selbst. Wie sich die behobenen Lücken im Betrieb auswirken, hängt nach Einschätzung von GARR CERT vom Produkt, der betroffenen Komponente und der Systemkonfiguration ab.

Nach dieser Lesart können zwei Installationen desselben Produkts unterschiedlich betroffen sein. Für Sicherheitsverantwortliche zählt damit neben der Einstufung auch die Frage, welche Komponenten im eigenen Haus tatsächlich laufen und wie sie konfiguriert sind.

Support als Voraussetzung

Für die Patches aus dem Programm Critical Patch Update, kurz CPU, gilt eine Bedingung. Sie stehen ausschließlich für Produktversionen im Premier Support oder Extended Support bereit. Beide Begriffe bezeichnen Stufen von Oracles Herstellersupport.

Versionen außerhalb dieser Stufen erhalten aus dem CPU-Programm keine Sicherheitspatches. Ob eine Installation die Korrekturen aus dem Oktober-Update überhaupt bekommt, entscheidet sich damit am Supportstatus der eingesetzten Version.

Empfehlungen zum Einspielen

Oracle empfiehlt seinen Kunden, die Sicherheitspatches unverzüglich zu installieren. NHS England rät betroffenen Organisationen, die jeweils zutreffenden Updates so schnell wie möglich einzuspielen. Beide Empfehlungen richten sich an Betreiber der betroffenen Produkte. Die Auswahl der zutreffenden Updates bleibt Aufgabe der Organisationen selbst.

Häufige Fragen

Jede Frage ist verschlossen. Ein Tippen entriegelt die Antwort.

Wie viele Produktfamilien betrifft das Oktober-Update?

Nach Auswertung von Tenable verteilen sich die 1.209 unterschiedlichen CVEs auf 33 Produktfamilien. Fusion Middleware, E-Business Suite, Java SE und Database Server sind nur vier davon.

Wie hoch ist der Anteil kritischer Patches?

Die 112 als kritisch eingestuften Patches entsprechen nach Tenables Auswertung 8,6 Prozent der 1.295 Sicherheitspatches. Die übrigen Patches tragen diese Einstufung nicht.

Welchen Stand hat Oracles Übersicht zum Update?

Im Änderungsprotokoll steht der Stand Rev 1, Initial Release. Gemeint ist die Erstveröffentlichung vom 20. Oktober 2026, dem Tag der Veröffentlichung.

Lesetipps der Redaktion

LesetippAOMEI-Updates: Minuten reichten für eine HintertürLesetippBlack October: Viele Angriffe liefen seit MonatenLesetippPHP-Lücken: Sicherheitsbehörden raten zum Abschalten

Bildquelle: KI-generiert (Oktober 2026)

Mehr aus dem MBF Media Netzwerk

cloudmagazinPHP2Shell legt Behörden lahm: Wer jetzt patchen muss MyBusinessFutureSalesforce holt sich mit Braze die Marketing-KI Digital ChiefsGartner: Mehr IT-Budget kauft kaum mehr Hardware