Das neue Patch-Schema markiert eine bedeutende Änderung in Oracles Sicherheitsstrategie. Statt nur vierteljährlich kritische Updates bereitzustellen, wird Oracle jetzt an den Daten 18. August, 15. September und weiteren Terminen zusätzliche CSPUs veröffentlichen — ergänzend zu den bisherigen CPUs im Juli und Oktober.
Die Mai-2026-CSPU behandelt Sicherheitsmängel in fünf Produkten: Oracle Database Server, REST Data Services, Communications, E-Business Suite und Hospitality Applications. Besonders kritisch sind die gefundenen Lücken in der E-Business Suite, die oft in deutschen Großunternehmen und im öffentlichen Sektor eingesetzt wird. Dort wurden zwölf neue Patches verteilt, darunter drei Remote-Exploitable-Vulnerabilities ohne Authentifizierungsanforderung.
Bei REST Data Services sind es elf neue Patches, sieben davon für remote ausnutzbare Lücken. Das Communications-Modul erhielt acht Updates, vier für unauthentifizierte Remote-Exploits. Der Database Server — das Herzstück vieler Unternehmensumgebungen — bekam Fixes für drei kritische, alle remote ausnutzbar ohne Anmeldung. Hinzu kommen 38 CVEs in Drittanbieter-Komponenten.
Oracle betont, dass ungefähr ein Dutzend der Schwachstellen kritische Severity-Level aufweisen, die übrigen sind als hochgradig eingestuft. Die Konzernwarnung ist unmissverständlich: “Angreifer haben bereits Erfolg gehabt, weil Zielorganisationen verfügbare Patches nicht eingespielt haben.”
Für deutsche IT-Verantwortliche ergibt sich daraus eine doppelte Herausforderung. Erstens müssen Patch-Management-Prozesse auf die höhere Update-Frequenz ausgerichtet werden. Zweitens zwingt die Exploit-Historie jeden Betreiber zu schnellstmöglicher Implementierung — nicht in Wochen, sondern in Tagen. Das BSI dürfte diese kritischen Updates in absehbarer Zeit in seine Warnmeldungen aufnehmen und deutsche Bundesbehörden entsprechend orientieren.
Unternehmen, die unter die DSGVO fallen, sollten zudem bedenken: Ausfälle durch exploitierte Lücken können zur Meldepflicht führen, theoretische Bußgelder bis 4 Prozent des Jahresumsatzes sind möglich. Das macht professionelles Patch-Management nicht nur zu einer technischen, sondern auch zu einer compliance-rechtlichen Notwendigkeit.