Oracle schließt fast 1000 Sicherheitslücken im August 2026

Oracle hat im August 2026 insgesamt 943 Sicherheitslücken in seinen Softwareprodukten geschlossen. Dies geschah im Rahmen des monatlichen Critical Security Patch Update (CSPU), das aufgrund der steigenden Anzahl an Sicherheitslücken notwendig wurde. Der Software-Hersteller hatte erst im Juli 2026 beim regulären Critical Patch Update (CPU) über 1400 Sicherheitslücken behoben. Die meisten der im August behobenen Schwachstellen, 262, betreffen die Fusion Middleware. Von diesen sind 182 ohne Benutzeranmeldung über das Netzwerk ausnutzbar.

Eine dieser Lücken erreicht den maximalen CVSS-Score von 10.0, während 12 weitere Lücken einen Score von 9.9 aufweisen. Ähnlich viele Schwachstellen wurden auch in Hyperion geschlossen, wo ebenfalls 262 Lücken behoben wurden. 107 dieser Lücken sind ohne Benutzeranmeldung über das Netzwerk ausnutzbar, darunter zwei mit CVSS 10.0 und zwei mit CVSS 9.9. Die E-Business Suite, die im Juli 2026 mit 410 Sicherheitslücken die Liste anführte, verzeichnet im August 120 Sicherheitslücken. Diese Zahl berücksichtigt jedoch nicht die Lücken in den verwendeten Komponenten aus Oracle Database und Fusion Middleware.

Im Bereich der Datenbanksoftware MySQL hat Oracle neun Schwachstellen behoben. Fünf dieser Lücken sind ohne Benutzeranmeldung über das Netzwerk ausnutzbar, und eine erreicht einen CVSS-Score von 8.2. Die neuesten verfügbaren Versionen von MySQL sind 26.7.0, 9.7.2 (LTS) und 8.4.12 (LTS). In der Java SE (Standard Edition) wurden insgesamt fünf Sicherheitslücken geschlossen, wobei der höchste CVSS-Wert 7.8 beträgt. Vier dieser Lücken sind ebenfalls ohne Benutzeranmeldung über das Netzwerk ausnutzbar.

Ab 2027 plant Oracle, monatliche Sicherheits-Updates für Java einzuführen, während der halbjährliche Turnus für Feature-Updates beibehalten wird. Die letzte Sicherheitsaktualisierung für die im März 2026 veröffentlichte Version Java 26 schließt fünf Lücken ein. Diese Version wird im September 2026 durch Java 27 abgelöst. Oracle hat in seinem aktuellen Sicherheitsbericht keine Angaben dazu gemacht, ob einige der Schwachstellen bereits für Angriffe ausgenutzt werden.

Die Risikobewertung erfolgt nach dem Industriestandard CVSS 3.1, dessen höchster Wert 10.0 ist. Die Sicherheitslücken in den Oracle-Produkten betreffen eine Vielzahl von Unternehmen und Organisationen weltweit. Die Notwendigkeit, Sicherheitsupdates regelmäßig durchzuführen, wird durch die steigende Anzahl an gemeldeten Schwachstellen unterstrichen. Oracle hat angekündigt, die Sicherheitsmaßnahmen kontinuierlich zu verbessern, um den Anforderungen der Nutzer gerecht zu werden.