Oracle schließt 1295 Sicherheitslücken im Oktober-Update

Oracle hat am 18. Oktober 2026 sein regelmäßiges Critical Patch Update (CPU) veröffentlicht, in dem insgesamt 1295 Sicherheitslücken geschlossen wurden. Dies ist nur geringfügig weniger als die Rekordzahl von 1300 Schwachstellen, die im Juli 2026 behoben wurden. Der Software-Hersteller führt die hohe Anzahl an Schwachstellen auf die zunehmende Nutzung von Künstlicher Intelligenz zur Entdeckung von Sicherheitslücken zurück. Zusätzlich zu den vierteljährlichen CPU-Updates hat Oracle seit April 2026 monatliche Sicherheits-Updates eingeführt, die als Critical Security Patch Updates (CSPU) bezeichnet werden.

Diese Updates erscheinen weiterhin am dritten Dienstag eines Monats und sollen die Sicherheit der Produkte zwischen den regulären CPU-Updates erhöhen. Im Bereich Java SE wurden 55 Sicherheitslücken geschlossen, wobei der höchste CVSS-Wert bei 7.5 liegt. Von diesen Lücken sind 49 ohne Benutzeranmeldung über das Netzwerk ausnutzbar. Darüber hinaus sind mehr als 50 weitere CVEs in den Fußnoten aufgeführt, die nicht in der Hauptliste enthalten sind. Die neueste Version von Java, Java 27, wurde im September 2026 veröffentlicht und erhält mit v27.0.1 ihr erstes Sicherheits-Update.

Java 25, das als Long Term Support (LTS) Version gilt, wird bis Sommer 2033 unterstützt. Die aktuellen LTS-Versionen sind Java 25, 21, 17 und 11, wobei Java 11 bis 2032 Updates erhält. Für kommerzielle Nutzer von Java 21 ist ab Oktober 2026 eine kostenpflichtige Lizenz erforderlich, während die Nutzung für private Anwender und Entwickler weiterhin kostenlos bleibt. Java 25 wird ab Oktober 2028 kostenpflichtig für kommerzielle Nutzer. Im Bereich VirtualBox hat Oracle sechs Schwachstellen behoben, die einen maximalen CVSS-Wert von 8.4 aufweisen.

Keine dieser Lücken ist jedoch über das Netzwerk ausnutzbar. Einige der Schwachstellen könnten es Angreifern ermöglichen, Code von der virtuellen Maschine auf dem Host-System auszuführen. Die neueste Version von VirtualBox ist 7.2.22. Für die MySQL-Datenbank wurden ebenfalls Sicherheitsupdates bereitgestellt, die jedoch nicht im Detail aufgeführt sind. Oracle empfiehlt, alle Produkte regelmäßig zu aktualisieren, um Sicherheitsrisiken zu minimieren.

Die Sicherheitslücken, die in den Updates behoben wurden, betreffen eine Vielzahl von Branchenlösungen, die Oracle anbietet. Eine umfassende Liste der CVEs ist auf der Website des Unternehmens verfügbar. Oracle plant, die monatlichen Sicherheits-Updates für Java ab 2027 einzuführen, um die Sicherheit der Software kontinuierlich zu verbessern. Die neueste Version von Java 8, Update 511, enthält 18 behobene Schwachstellen und bleibt für private Nutzer und Entwickler kostenlos. Die Sicherheitslücke CVE-2026-1234 betrifft nach Angaben des BSI rund 50.000 Systeme in Deutschland.