Oracle Critical Patch Update August 2026: Eine aktiv ausgenutzte Schwachstelle in Oracle Identity Manager unter 390 Korrekturen

Das Release im Überblick

Oracle hat den Sicherheitshinweis zum Critical Security Patch Update vom August 2026 veröffentlicht. Er umfasst 390 CVEs. Die Verteilung nach Schweregrad: 84 kritische, 247 hohe, 56 mittlere und 3 niedrige CVEs. Auf Oracle Fusion Middleware entfallen 261 der gelisteten CVEs, gefolgt von Oracle E-Business Suite mit 120, Oracle Database Server mit 5 und Oracle Java SE mit 4.

Eine CVE ist bereits in der CISA KEV gelistet und wird von CISA SSVC als aktiv bewertet: CVE-2025-61757 in der Komponente REST WebServices von Oracle Identity Manager, veröffentlicht am 21. Oktober 2025. Als Frist in der CISA KEV ist der 12. Dezember 2025 angegeben. Keine andere CVE in diesem Update ist als ausgenutzt gelistet.

Was am meisten zählt

Oracle Identity Manager. CVE-2025-61757 hat die höchste Priorität. Es handelt sich um eine ohne vorherige Authentifizierung ausnutzbare HTTP-Schwachstelle in REST WebServices, die die Versionen 12.2.1.4.0 und 14.1.2.1.0 betrifft. Sie hat einen CVSS-Wert von 9,8 und ermöglicht die Übernahme von Identity Manager. Sowohl die CISA KEV als auch CISA SSVC stufen sie als aktiv ein; ihr EPSS-Wert liegt bei 88,6. Die Frist in der CISA KEV ist der 12. Dezember 2025.

Zwei weitere Schwachstellen in Identity Manager gehören in den ersten Durchgang: CVE-2026-60720 und CVE-2026-61066, beide mit CVSS 9,9, betreffen die OIM Legacy UI über HTTP beziehungsweise RMI, erfordern geringe Privilegien und ermöglichen die Übernahme von Identity Manager.

Oracle Internet Directory. CVE-2026-61241 ist eine Schwachstelle mit CVSS 10,0. Ein Angreifer ohne vorherige Authentifizierung mit Netzwerkzugriff über LDAP kann Oracle Internet Directory übernehmen; betroffen sind die Versionen 12.2.1.4.0 und 14.1.2.1.0. CVE-2026-61248 ist eine weitere OID-LDAP-Schwachstelle, die geringe Privilegien erfordert und mit CVSS 9,9 bewertet ist.

Oracle WebLogic Server. CVE-2026-60702 ist eine mit CVSS 9,9 bewertete Schwachstelle, die von einem Angreifer mit geringen Privilegien über T3 oder IIOP erreicht werden kann. Sie ermöglicht in den betroffenen Versionen 12.2.1.4.0, 14.1.1.0.0, 14.1.2.0.0 und 15.1.1.0.0 die Übernahme.

Oracle WebCenter Enterprise Capture. CVE-2026-60916 ist ohne vorherige Authentifizierung über HTTP ausnutzbar und ermöglicht unbefugte Datenänderungen, teilweisen Lesezugriff und eine teilweise Dienstverweigerung.

Oracle Managed File Transfer. CVE-2026-61003 ist eine mit CVSS 9,9 bewertete Schwachstelle, die von einem Angreifer mit geringen Privilegien über T3 oder IIOP erreicht werden kann und die Übernahme ermöglicht.

In dieser Reihenfolge patchen

1. CVE-2025-61757 — Oracle Identity Manager (REST WebServices). Wenden Sie zuerst den Fix des Herstellers oder die Schutzmaßnahmen an. CISA KEV und CISA SSVC stufen die Schwachstelle als aktiv ein; die Frist in der CISA KEV ist der 12. Dezember 2025. Betroffene Versionen: 12.2.1.4.0, 14.1.2.1.0.
2. CVE-2026-61241 — Oracle Internet Directory. Übernahme ohne Authentifizierung über LDAP mit CVSS 10,0. Priorisieren Sie die Behebung für jeden aus dem Internet erreichbaren OID-LDAP-Server. Betroffene Versionen: 12.2.1.4.0, 14.1.2.1.0.
3. CVE-2026-60916 — Oracle WebCenter Enterprise Capture. Ohne vorherige Authentifizierung über HTTP ausnutzbar, mit Änderung des Wirkungsbereichs. Priorisieren Sie die Schwachstelle, wenn die Anwendung aus dem Internet erreichbar ist. Betroffene Versionen: 12.2.1.4.0, 14.1.2.0.0.
4. CVE-2026-60702 — Oracle WebLogic Server. Übernahme mit geringen Privilegien über T3/IIOP; priorisieren Sie die Schwachstelle besonders, wenn T3/IIOP aus dem Internet erreichbar ist. Betroffene Versionen: 12.2.1.4.0, 14.1.1.0.0, 14.1.2.0.0, 15.1.1.0.0.
5. CVE-2026-61248 — Oracle Internet Directory; CVE-2026-60720 und CVE-2026-61066 — Oracle Identity Manager; CVE-2026-61003 — Oracle Managed File Transfer. Übernahmeschwachstellen mit geringen Privilegien und CVSS 9,9. Beheben Sie diese nach den ohne vorherige Authentifizierung ausnutzbaren Schwachstellen.
6. Übriges Critical Patch Update. Spielen Sie anschließend das übrige Update ein: 84 kritische und 247 hohe Bewertungen unter den 390 CVEs. Priorisieren Sie Fusion Middleware und E-Business Suite, danach Database Server und Java SE.

Über den Patch hinaus

Ein Update dieses Umfangs ist im nächsten Monat leichter zu bewältigen, wenn bereits erfasst ist, welche Oracle-Systeme exponiert sind. Mit Virtual CISO Services (vCISO) unterstützen wir Sie dabei, aus dem Internet erreichbare Oracle-Dienste, offene T3/IIOP- oder LDAP-Ports und Middleware zu identifizieren, die nicht erreichbar sein muss. Wo diese Produkte bereits im Einsatz sind, bieten Implementierungs- und Bewertungsleistungen Penetrationstests und Härtungsprüfungen, damit bestätigt wird, dass ein Patch den Angriffsweg tatsächlich schließt und nicht nur eingespielt wurde.