Mit dem Critical Security Patch Update für September 2026 legt Oracle eines seiner umfangreichen Sammelupdates vor. Das Unternehmen kündigte am Dienstag 673 neue Sicherheitspatches an, die sich auf 17 Produktfamilien verteilen.
Die tatsächliche Zahl der geschlossenen Lücken liegt höher als die der Patches: In den Risikomatrizen des Advisories sind 672 eindeutige CVE-Kennungen aufgeführt; darüber hinaus verweist Oracle auf mehr als 130 zusätzliche CVEs, die mit den Korrekturen für andere Fehler miterledigt wurden. Insgesamt kommt das Paket damit auf über 800 behobene Schwachstellen. Mehr als 100 davon sind kritisch, über 240 können ohne vorherige Authentifizierung aus der Ferne ausgenutzt werden.
Den größten Block stellt Oracle E-Business Suite mit 159 Sicherheitspatches. 19 der dort behobenen Schwachstellen sind ohne Zugangsdaten über das Netz angreifbar. Knapp dahinter folgt Fusion Middleware mit 153 Patches, darunter Korrekturen für 78 Lücken, die sich unauthentifiziert aus der Ferne ausnutzen lassen. Platz drei belegt Hyperion mit 102 Patches, von denen 50 remote und ohne Authentifizierung ausnutzbare Fehler betreffen.
Weitere größere Pakete entfallen auf Siebel CRM mit 63 Patches, Analytics mit 50, Communications mit 31, Commerce mit 27 sowie Supply Chain und Virtualization mit jeweils 19 und PeopleSoft mit 16 Korrekturen. Besonders auffällig ist das Communications-Update: Die Hälfte seiner Patches schließt zusammengenommen mehr als 125 zusätzliche CVEs.
Patches erhielten in diesem Monat außerdem Database Server, Enterprise Manager, Financial Services Applications, Application Testing Suite, Java SE, Autonomous Health Framework und Utilities Applications.
Oracle erwähnt in dem Advisory keine der nun behobenen Schwachstellen als bereits in freier Wildbahn ausgenutzt. Gleichzeitig warnt der Hersteller davor, dass Angreifer fortlaufend Lücken in Oracle-Produkten angreifen, und mahnt zur schnellen Installation. „In einigen Fällen wurde berichtet, dass Angreifer erfolgreich waren, weil die betroffenen Kunden verfügbare Oracle-Patches nicht eingespielt hatten. Oracle empfiehlt seinen Kunden daher dringend, auf aktiv unterstützten Versionen zu bleiben und Sicherheitspatches unverzüglich anzuwenden", heißt es in der Mitteilung des Unternehmens.