Das Juli-2026-Update von Oracle fällt ungewöhnlich groß aus: 1.449 Sicherheitskorrekturen adressieren laut Hersteller 1.434 eigenständige CVEs in 334 Produkten. Zu den betroffenen Angeboten zählen unter anderem Database Server, APEX, Autonomous Health Framework, Essbase, Global Lifecycle Management, GoldenGate, NoSQL Database, Spatial Studio, SQL Developer und TimesTen In-Memory Database.
Auch zahlreiche Unternehmensanwendungen und Plattformen erhalten Sicherheitsupdates. Oracle nennt hier unter anderem Application Testing Suite, Commerce, Communications, Construction and Engineering, E-Business Suite, Enterprise Manager, Financial Services Applications, Food and Beverage Applications, Fusion Middleware, Analytics, HealthCare Applications, Hospitality Applications, Java SE, JD Edwards, MySQL, PeopleSoft, Retail Applications, Siebel CRM, Supply Chain, Systems, Utilities Applications und Virtualization.
Besonders relevant ist die Zahl der ohne Anmeldung ausnutzbaren Schwachstellen. Nach Angaben von Oracle betreffen rund 600 der Patches Lücken, die sich remote und ohne Authentifizierung ausnutzen lassen. Hinzu kommt, dass Hunderte der Schwachstellen als kritisch eingestuft wurden.
Die meisten behobenen Schwachstellen entfallen auf einige zentrale Produktfamilien. Oracle beziffert die Zahl für E-Business Suite auf 410, für Fusion Middleware auf 355, für Communications auf 168 und für PeopleSoft auf 84.
Der Bericht hebt zudem hervor, dass ein großer Teil der neu geschlossenen Lücken vermutlich mit Hilfe künstlicher Intelligenz gefunden wurde. Externe Sicherheitsforscher wurden nur für wenige Dutzend Schwachstellen als Entdecker genannt. Daraus folgt, dass die überwiegende Mehrheit intern identifiziert wurde.
Oracle hatte bereits früher in diesem Jahr erklärt, Zugang zu erstklassigen KI-Systemen zu haben, darunter Claude Mythos von Anthropic sowie die leistungsfähigsten Modelle von OpenAI. Diese Systeme setzt das Unternehmen nach eigener Darstellung ein, um das Auffinden von Schwachstellen zu beschleunigen und präziser zu machen sowie Patches schneller bereitzustellen.
Laut Oracle kommt diese KI-gestützte Arbeit nicht nur für die eigene Software und Dienste zum Einsatz, sondern auch für Oracle Health sowie für die Open-Source-Komponenten, die das Unternehmen entwickelt und auf die es angewiesen ist.
Dass die Aktualisierungen zügig eingespielt werden sollten, begründet der Quelltext mit der Praxis von Angreifern, Schwachstellen in Oracle-Produkten auszunutzen. Als Beispiele nennt er die Ausnutzung einer PeopleSoft-Zero-Day-Lücke sowie eine kürzlich geschlossene Schwachstelle in Oracle EBS.