Oracle hat sein Critical Security Patch Update (CSPU) für August 2026 veröffentlicht und liefert damit 943 neue Sicherheitspatches für über zwei Dutzend Produktlinien aus. Das Update behebt insgesamt mehr als 1.000 einzigartige Schwachstellen (CVEs). Damit fällt das August-Paket kleiner aus als das vorangegangene Juli-2026-CPU, das noch 1.449 Patches umfasste.
Zahlreiche kritische Lücken ohne Authentifizierung ausnutzbar
Von den behobenen Schwachstellen lassen sich laut Oracle über 460 remote und ohne Authentifizierung ausnutzen. Mehr als 150 Lücken stuft der Hersteller als kritisch ein, fast 90 davon erreichen einen CVSS-Score von 9,8 oder höher – also nahe dem theoretischen Maximalwert von 10,0.
Besonders betroffen sind Fusion Middleware und Hyperion, die mit jeweils 262 Patches den größten Anteil am Gesamtpaket ausmachen. Bei Fusion Middleware sind laut Angaben 182 der Lücken ohne Anmeldung ausnutzbar; der höchste CVSS-Wert liegt bei 10,0 und betrifft eine Schwachstelle im Oracle Internet Directory (CVE-2026-61241).
Zwölf weitere Lücken erreichen einen Wert von 9,9. Bei Hyperion sind 107 der 262 Schwachstellen ohne Authentifizierung angreifbar, zwei davon mit dem Höchstwert 10,0.
Die E-Business Suite erhält 120 Patches, Oracle Commerce 66, Siebel CRM 50 und der Bereich Supply Chain 46. Auch kleinere Produktbereiche wie MySQL (9 Lücken, maximaler CVSS-Wert 8,2), Java SE (5 Lücken, maximal 7,8) und VirtualBox (21 Lücken, maximal 8,6) sind Teil des Updates.
Die vollständige Aufschlüsselung nach Produkten – darunter auch Autonomous Health Framework, Essbase, JD Edwards, PeopleSoft, Retail und weitere Branchenlösungen – hat Oracle in Form von Risk Matrices veröffentlicht, detaillierte Angaben finden sich im Advisory unter oracle.com/security-alerts/cspuaug2026.html.
WebLogic-Lücken besonders kritisch
Unter den Schwachstellen ragen mehrere kritische WebLogic-Lücken heraus: CVE-2026-60698, CVE-2026-60672, CVE-2026-60696 und CVE-2026-60977 erreichen jeweils einen CVSS-Wert von 9,8 und lassen sich remote über die Protokolle IIOP, T3 oder RMI ohne Authentifizierung ausnutzen. Eine weitere Lücke, CVE-2026-60702, erhält mit 9,9 einen noch höheren Wert, setzt allerdings einen niedrig privilegierten Benutzer voraus.
Angesichts der zunehmenden Professionalität bei Cyberangriffen müssen Unternehmen heute proaktiv handeln, um ihre IT-Infrastruktur abzusichern. In diesem kostenlosen E-Book erfahren Verantwortliche, wie sie Sicherheitslücken schließen und gleichzeitig neue gesetzliche Anforderungen erfüllen. Gratis-E-Book: IT-Sicherheit ohne teure Investitionen stärken
Neue Software-Versionen und VirtualBox-Update
Im Zuge des CSPU hat Oracle zudem aktualisierte Java-SE-Versionen bereitgestellt, darunter 26.0.2.1, 25.0.4.1 LTS und 21.0.12.1 LTS sowie weitere Fassungen wie 17.0.20.1, 11.0.32.1 und 8u503. Die Updates beheben vier Java-SE-Schwachstellen, die sämtlich remote ohne Authentifizierung ausnutzbar sind. Auch MySQL erhält neue Versionen (26.7.0, 9.7.2, 8.4.12).
Parallel dazu hat Oracle VirtualBox 7.2.16 veröffentlicht. Die neue Version bringt ARM-Host-Unterstützung für Windows sowie experimentelle 3D-Beschleunigung für Apple-Silicon-Macs mit. Zudem hat Oracle Komponenten wie VRDP, die USB-Smartcard-Emulation und die VM-Verschlüsselung als Open Source freigegeben. Die neue Version unterstützt Linux-Kernel von 6.16 bis 7.2, gespeicherte Zustände von ARM-VMs aus Version 7.1 sind jedoch inkompatibel.
Zusätzliche Updates für Oracle Linux
Ergänzend zum CSPU hat Oracle für Oracle Linux 10 wichtige Sicherheitsupdates für die Systemüberwachungs-Software pcp (Version 7.0.3-5.0.1) veröffentlicht, die unter anderem eine Out-of-Bounds-Pointer-Dereferenzierung (CVE-2026-16530) und eine Pfad-Traversal-Schwachstelle in pmproxy (CVE-2026-16531) beheben.
Wer sich mit der Absicherung kritischer Systeme befasst, sollte auch die neuesten rechtlichen Entwicklungen und KI-gestützten Bedrohungen im Blick behalten. Dieser kostenlose Report klärt auf, welche Pflichten jetzt auf IT-Verantwortliche zukommen und wie man den Schutz langfristig verbessert. Kostenlosen Cyber-Security-Report jetzt herunterladen
Für Node.js sind sowohl für Oracle Linux 10 (Version 22.23.1-6.0.1) als auch für Oracle Linux 8 (Version 22.23.1-3) wichtige Updates erschienen, die jeweils mehrere CVEs schließen, darunter CVE-2026-69192, CVE-2026-54272 und CVE-2026-69152.
Angesichts der hohen Zahl remote ausnutzbarer und kritischer Schwachstellen dürfte für Betreiber betroffener Oracle-Umgebungen eine zeitnahe Installation der Patches angezeigt sein.
