Oracle Critical Patch Update, Oktober 2026: Aus dem Netz erreichbare Übernahme-Schwachstellen an der Spitze von 426 Korrekturen

Das Release im Überblick

Das Oracle Critical Patch Update vom Oktober 2026 umfasst 426 CVEs. Davon sind 38 als kritisch, 200 als hoch, 161 als mittel und 27 als niedrig eingestuft. Auf Oracle E-Business Suite entfällt mit 194 CVEs der größte Anteil, gefolgt von Oracle Fusion Middleware mit 170, Oracle Java SE mit 52, Oracle Database Server mit 9 und Oracle PeopleSoft mit 1. Keine der CVEs ist im CISA-KEV-Katalog enthalten, und keine ist in den Daten des Sicherheitshinweises als aktiv ausgenutzt markiert. Bei den dringendsten Einträgen handelt es sich um eine Gruppe nicht authentifizierter, über das Netz erreichbarer Schwachstellen in Oracle Fusion Middleware und Oracle E-Business Suite; einige davon sind mit CVSS 10,0 bewertet.

Was am meisten zählt

In Oracle E-Business Suite betrifft CVE-2026-101809 Workflow (Workflow Notification Mailer) in den Versionen 12.2.3 bis 12.2.15. Die Schwachstelle ist ohne Anmeldedaten über HTTP leicht ausnutzbar und kann zur Übernahme von Workflow führen; Oracle bewertet sie mit CVSS 10,0 als kritisch.

In Oracle Fusion Middleware liegt der größte Cluster in Oracle SOA Suite. CVE-2026-91216 und CVE-2026-91221 betreffen den Fabric Layer in 12.2.1.4.0 und 14.1.2.0.0; beide sind ohne Authentifizierung über T3 oder IIOP erreichbar und werden mit 10,0 bewertet. CVE-2026-91231 betrifft die Komponente Adapters über HTTP und hat dasselbe Ergebnis: eine Übernahme ohne Authentifizierung. Mehrere weitere Einträge in SOA Suite setzen niedrige Berechtigungen voraus, sind aber mit 9,9 als kritisch bewertet, darunter CVE-2026-91224, CVE-2026-91232 und CVE-2026-91250.

CVE-2026-87337 in Oracle Access Manager ist eine ohne Authentifizierung über HTTP ausnutzbare Schwachstelle in den Versionen 12.2.1.4.0 und 14.1.2.1.0; sie ermöglicht vollständigen Zugriff auf OAM-Daten sowie deren Veränderung. CVE-2026-101499 in Oracle WebCenter Sites enthält Verweise auf CWE-287 und CWE-306, betrifft die Versionen 12.2.1.4.0 und 14.1.2.0.0 und weist eine Bewertung von 9,8 mit Übernahmepotenzial auf. CVE-2026-91354 in Oracle Outside In Technology 8.5.8 ist eine über das Netz ausnutzbare Schwachstelle mit niedrigen Berechtigungen, wird aber mit 9,9 dennoch als kritisch bewertet. CVE-2026-91222 in Oracle Business Process Management Suite setzt ebenfalls niedrige Berechtigungen voraus, ist über SOAP erreichbar und wird mit 9,9 bewertet.

In dieser Reihenfolge patchen

1. Zuerst die Sicherheitsupdates für Oracle SOA Suite 12.2.1.4.0 und 14.1.2.0.0 einspielen. CVE-2026-91216, CVE-2026-91221 und CVE-2026-91231 sind ohne Authentifizierung über das Netz erreichbar, werden mit CVSS 10,0 bewertet und ermöglichen eine vollständige Übernahme.
2. Die Sicherheitsupdates für Oracle E-Business Suite Workflow 12.2.3 bis 12.2.15 einspielen. CVE-2026-101809 ist ein ohne Authentifizierung nutzbarer HTTP-Pfad, über den Workflow übernommen werden kann.
3. Oracle Access Manager 12.2.1.4.0 und 14.1.2.1.0 aktualisieren. CVE-2026-87337 ermöglicht einem nicht authentifizierten HTTP-Angreifer, OAM-Daten zu lesen und zu verändern.
4. Oracle WebCenter Sites 12.2.1.4.0 und 14.1.2.0.0 aktualisieren. CVE-2026-101499 ist ohne Authentifizierung ausnutzbar und wird mit 9,8 bewertet.
5. Anschließend sind die kritischen Schwachstellen mit niedrigen Berechtigungen zu beheben – Oracle Business Process Management Suite CVE-2026-91222 und Oracle Outside In Technology CVE-2026-91354 –, bevor die übrigen CVEs in Fusion Middleware, E-Business Suite, Java SE und Database Server entsprechend ihrer Erreichbarkeit aus dem Netz abgearbeitet werden.

Über den Patch hinaus

Ein Update dieser Größenordnung lässt sich leichter verarbeiten, wenn Sie bereits wissen, von wo aus Oracle SOA Suite, Access Manager, Workflow und WebCenter Sites aus dem Netz erreichbar sind. Virtual CISO Services (vCISO) hält dieses Bild der Erreichbarkeit aus dem Netz aktuell und priorisiert die nicht authentifizierten Dienste, auf die dieses Critical Patch Update abzielt. Implementierungs- und Bewertungsleistungen können die Authentifizierungspfade und Middleware-Konfigurationen, die diese Schwachstellen betreffen, vor und nach dem Patchen überprüfen. Lieferkettenschutz und Drittparteienrisiko verfolgt den Patch-Rhythmus von Oracle für die Produkte, auf die Sie angewiesen sind, damit das nächste Critical Patch Update nicht überraschend kommt.