Oracle Critical Patch Update Oktober 2026

Am Dienstag, den 20.10.2026, hat Oracle das aktuelle Sicherheitsupdate für dieses Quartal veröffentlicht.

Aufgrund des Gefährdungspotenzials empfehlen wir, den aktuellen Sicherheitspatch einzuspielen, wenn die eingesetzte Produktversion betroffen ist. Voraussetzung ist die Freigabe dieses Patches durch den jeweiligen Applikationshersteller.

Insbesondere Systeme, die von außen zugänglich sind, typischerweise Apache/Weblogic Server, sollten auch immer auf dem aktuellen Stand gehalten werden. Uns sind Fälle bekannt, bei denen bekannte Lücken ausgenutzt wurden und mit den kompromittierten Systemen Crypto Mining betrieben wurde.

Dieses Critical Patch Update adressiert 1295 Sicherheitslücken über zahlreiche Produkte und Versionen. Durch die KI-gestützte Analyse konnten derart viele Lücken aufgedeckt werden. Betroffen sind unter anderem die Datenbank, Fusion Middleware, MySQL und der Enterprise Manager. 218 der geschlossenen Lücken stammen aus Komponenten von Drittherstellern, hier wurden 130 Lücken als „High“ oder „Critical“ eingestuft.

Innerhalb der Datenbank sind 14 Lücken geschlossen worden, 2 davon betreffen Client-only Installationen. Die am höchsten bewertete Lücke betrifft die TLS-Implementierung in den Versionen ab 19.3. Diese Lücke ist mit einem Score von 9,9 bewertet worden. Weitere Lücken betreffen die Packages DBMS_AW (von OLAP) ab Version 19.3 und DBMS_VECTOR ab Version 23.4. Diese Lücken sind jedoch nicht ohne Authentifizierung von entfernten Rechnern ausnutzbar und haben einen Score von 8,8. Eine Lücke in der Virtual Private Database Komponente wurde ebenfalls geschlossen. Hier können Angreifer, die über das CREATE TABLE Recht verfügen, auf eigentlich geschützte Daten zugreifen.

Innerhalb der Fusion Middleware, wozu auch der Weblogic Server gehört, werden 206 Lücken geschlossen, von denen 134 von entfernten Rechnern ohne Authentifizierung auszunutzen sind. 4 Schwachstellen weisen dabei den Höchstwert von 10,0 auf, zahlreiche weitere Lücken haben einen Score von über 9,0. Betroffen sind unter anderem der HTTP Server und der Access Manager.

Auch im Enterprise Manager wurden 12 Lücken geschlossen, von denen 2 von entfernten Rechnern ohne Authentifizierung auszunutzen sind. Diese Lücken haben einen Score von 8,1 und 5,6 und betreffen die Base Platform in den Versionen 13.5 und 24.1. 2 weitere Lücken betreffen das Data Guard Management und haben einen Score von 9,9.

In Java SE wurden 55 Schwachstellen geschlossen, 49 davon können ohne Authentifizierung ausgenutzt werden. Der Höchstwert liegt bei 7,5 und betrifft Lücken in den Java Plugins und JavaFX.

In MySQL gibt es 98 geschlossene Lücken, die höchste Einstufung ist hier 9,8 für Schwachstellen im Enterprise Backup und im Compiling.

Für die Robotron-Energiemarkt-Plattform stehen Einspielung und Test des Oktober 2026 Updates noch aus, hier ist derzeit das Juli 2026 Update für Linux und das Januar 2026 für Windows freigegeben.

Das nächste Security Update wird am 19. Januar 2027 erscheinen.

Weitere Informationen erhalten Sie auch in der Veröffentlichung von Oracle.

Gerne unterstützen wir Sie bei der Planung und Durchführung der Updates!