WORLDTECHOracle veröffentlicht 1.295 Sicherheitspatches im Oktober-Update
Oracle hat ein Critical Patch Update für Oktober 2026 veröffentlicht, das 1.295 neue Sicherheitspatches für seine Unternehmenssoftware umfasst, wie GBHackers berichtet. Die Mitteilung vom 20. Oktober betrifft eigene Oracle-Produkte ebenso wie Komponenten von Drittanbietern und enthält Schwachstellen, die Angreifer aus der Ferne ohne Anmeldung ausnutzen können.
Umfang des Oktober-Updates
Betroffen sind Datenbanken, Middleware, Business-Anwendungen, Java, MySQL und Virtualisierungsplattformen. Allein die Oracle-Datenbankprodukte erhielten 126 neue Patches, verteilt auf Komponenten wie den Database Server, APEX, Essbase, GoldenGate und REST Data Services. Zwei der Korrekturen betreffen laut dem Bericht auch reine Client-Installationen.
Schwere Lücken in Database Server und APEX
Am gravierendsten ist CVE-2026-75803, eine Schwachstelle in der OpenSSL-Komponente des Database Server mit einem CVSS-3.1-Wert von 9,8. Dem Bericht zufolge lässt sie sich über TLS ohne Zugangsdaten und ohne Zutun eines Nutzers auslösen; Oracle stuft die mögliche Wirkung auf Vertraulichkeit, Integrität und Verfügbarkeit als hoch ein.
Oracle APEX erhielt zwei Patches. CVE-2026-101521 in der Komponente General erreicht ebenfalls 9,8 und ist für nicht angemeldete Angreifer über HTTPS bei geringer Komplexität und ohne Nutzerinteraktion erreichbar; betroffen sind die APEX-Versionen 24.1.0 bis 24.1.21, 24.2.0 bis 24.2.20 und 26.1.0 bis 26.1.4. Die zweite APEX-Lücke, CVE-2026-66010, steckt in der mitgelieferten Komponente DOMPurify, erhält 6,1 und setzt eine Nutzerinteraktion voraus. Der Bericht nutzt den Gegensatz, um dafür zu plädieren, dass Administratoren die Voraussetzungen jeder Lücke prüfen, statt alle Patches gleich zu behandeln.
Essbase-Korrekturen und anhaltende Angriffsversuche
Oracle Essbase erhielt 38 Patches, die 14 Schwachstellen adressieren, welche sich aus der Ferne ohne Authentifizierung ausnutzen lassen. Vier davon, CVE-2026-91637, CVE-2026-91638, CVE-2026-91658 und CVE-2026-91663, tragen CVSS-Werte von 9,9 und betreffen Version 21.8.3.0.0.
Oracle warnt, dass Angreifer weiterhin versuchen, Lücken auszunutzen, für die bereits Korrekturen existieren. Laut dem Bericht gelangen einige Eindringversuche, weil Kunden die notwendigen Korrekturen nicht installiert hatten, was die Notwendigkeit zügiger Behebung und des Einsatzes unterstützter Softwareversionen unterstreicht.
Offene Fragen
- Welche Kunden waren von den erfolgreichen Angriffen betroffen?
- Wird Oracle genauer darlegen, welche Komponenten von Drittanbietern das Update umfasst?