Oracle-Sicherheitshinweis zum Critical Patch Update vom September 2026: Nicht authentifizierte Fusion-Middleware-Schwachstellen stehen an der Spitze von 330 Korrekturen

Das Release im Überblick

Der Oracle-Sicherheitshinweis zum Critical Patch Update vom September 2026 umfasst 330 CVEs in den Oracle-Produkten. Die Schweregrade verteilen sich auf 69 kritische, 234 hohe, 24 mittlere und 3 niedrige Schwachstellen. Auf Oracle E-Business Suite entfallen 159 der CVEs, auf Oracle Fusion Middleware 152, auf Oracle Database Server 11, auf Oracle Java SE 6, auf Oracle Enterprise Manager 1 und auf Oracle Analytics 1. Für keine CVE in dieser Veröffentlichung ist eine aktive Ausnutzung in freier Wildbahn verzeichnet; keine ist in der CISA KEV aufgeführt.

Zu den am höchsten bewerteten Schwachstellen zählen Oracle Access Manager, Oracle Platform Security for Java, Oracle WebLogic Server, Oracle Internet Directory und Oracle Forms. Sie weisen jeweils eine CVSS-3.1-Bewertung von 10,0 auf und sind über das Netzwerk ohne vorherige Authentifizierung angreifbar. Mehrere weitere Schwachstellen in Oracle Access Manager, WebCenter Portal, WebCenter Sites und Service Delivery Platform sind mit 9,9 bewertet und setzen lediglich geringe Berechtigungen voraus.

Was am meisten zählt

Oracle Access Manager weist die schwerwiegendsten Schwachstellen auf. CVE-2026-71133 ist eine HTTP-Schwachstelle in der Authentication Engine, die ohne vorherige Authentifizierung ausgenutzt werden kann; Oracle bewertet sie mit 10,0, mit geändertem Scope und der Möglichkeit, das Produkt zu übernehmen. CVE-2026-73945 ist eine Schwachstelle, die lediglich geringe Berechtigungen voraussetzt, ebenfalls in der Authentication Engine; sie ist mit 9,9 bewertet und ermöglicht die Übernahme des Produkts. CVE-2026-83020 in Oracle Platform Security for Java ist eine HTTP-Schwachstelle in Centralized Thirdparty Jars, die ohne vorherige Authentifizierung ausgenutzt werden kann, und wird mit 10,0 bewertet. CVE-2026-83021 in Oracle WebLogic Server betrifft den Web Container, ist über HTTP ohne vorherige Authentifizierung ausnutzbar, erhält eine Bewertung von 10,0 und ermöglicht die Übernahme des Produkts. CVE-2026-83059 in Oracle Internet Directory ist eine LDAP-Schwachstelle im OID LDAP Server ohne vorherige Authentifizierung und wird ebenfalls mit 10,0 bewertet. CVE-2026-83099 in Oracle Forms ist eine HTTP-Schwachstelle in Forms Services, C/S, Charmode ohne vorherige Authentifizierung und wird ebenfalls mit 10,0 bewertet. CVE-2026-73948 in Oracle WebCenter Portal ist eine HTTP-Schwachstelle in Composer, die geringe Berechtigungen voraussetzt und mit 9,9 bewertet wird. CVE-2026-82997 in Service Delivery Platform ist eine T3/IIOP-Schwachstelle in Messaging Enabler, die geringe Berechtigungen voraussetzt und mit 9,9 bewertet wird. Diese Schwachstellen sind vorrangig, weil sie Netzwerkzugang, keine oder nur geringe Berechtigungen und die Einstufung durch Oracle als „einfach ausnutzbar“ kombinieren.

In dieser Reihenfolge patchen

1. Spielen Sie zuerst die Sicherheitsupdates für die aus dem Netzwerk erreichbaren Fusion-Middleware-Komponenten ein, die ohne vorherige Authentifizierung angreifbar sind: Oracle Access Manager CVE-2026-71133, Oracle Platform Security for Java CVE-2026-83020, Oracle WebLogic Server CVE-2026-83021, Oracle Internet Directory CVE-2026-83059 und Oracle Forms CVE-2026-83099. Diese Schwachstellen sind mit 10,0 bewertet, erfordern keine Anmeldedaten und werden von Oracle als einfach ausnutzbar beschrieben.
2. Spielen Sie als Nächstes die Sicherheitsupdates für die Fusion-Middleware-Schwachstellen ein, die lediglich geringe Berechtigungen voraussetzen: Oracle Access Manager CVE-2026-71163 und CVE-2026-73945, Oracle WebCenter Portal CVE-2026-73948, Service Delivery Platform CVE-2026-82997, CVE-2026-82998 und CVE-2026-82999 sowie Oracle WebCenter Sites CVE-2026-83031. Diese Schwachstellen sind mit 9,9 bewertet und setzen lediglich geringe Berechtigungen voraus.
3. Fahren Sie mit den übrigen Updates für Oracle Fusion Middleware und Oracle E-Business Suite fort und priorisieren Sie dabei aus dem Internet erreichbare E-Business-Suite-Module sowie alle Fusion-Middleware-Komponenten, die aus nicht vertrauenswürdigen Netzen erreichbar sind.
4. Behandeln Sie anschließend Oracle Database Server, Oracle Java SE, Oracle Enterprise Manager und Oracle Analytics entsprechend Ihrem regulären Patchzyklus.

Da keine CVE in dieser Veröffentlichung in der CISA KEV enthalten ist, gibt es keine CISA-Frist, die bei der Planung zu berücksichtigen ist. Entscheidend sind die Angriffsfläche und die Bewertung von Oracle.

Über den Patch hinaus

Diese Veröffentlichung ist geprägt von über das Netzwerk erreichbaren Fusion-Middleware-Schwachstellen, die keine oder nur geringe Berechtigungen erfordern. Das spricht für ein kontinuierliches Management der Angriffsfläche statt für hektische Einzelmaßnahmen einmal im Quartal. Mit Virtual CISO Services unterstützen wir Sie dabei, Ihre aus dem Internet erreichbaren Oracle-Dienste sichtbar zu halten und zu priorisieren. Mit Implementierungs- und Bewertungsleistungen lassen sich die Authentifizierungs- und Zugriffskontrollgrenzen in Access Manager, WebLogic Server und verwandten Komponenten testen, bevor das nächste Critical Patch Update erscheint.