Mit 925 Sicherheitslücken hat Oracle im August deutlich weniger Softwarefehler behoben als im Juli mit 1.449. Dennoch sind zahlreiche kritische Schwachstellen darunter, die dringend Aufmerksamkeit erfordern, da einige davon als leicht ausnutzbar gelten.
Ein zusätzliches Format für kritische Lücken
Eigentlich patcht Oracle seine Software an vier Patchdays pro Jahr, 2026 sind dafür Januar, April, Juli und Oktober vorgesehen. Um kritische Sicherheitslücken schneller zu schließen, hat der Hersteller zusätzlich das Critical Security Patch Update (CSPU) eingeführt, das erste erschien am 28. Mai 2026. Die CSPUs werden seither immer am dritten Dienstag im Monat veröffentlicht. Beim August-CSPU brachte Oracle Updates für 925 Schwachstellen heraus, besonders hart trifft es dabei die Produkte Hyperion, E-Business Suite und Fusion Middleware.
Hyperion und Fusion Middleware mit CVSS 10.0
Die Lösungen Oracle Hyperion Data Relationship Management und Hyperion Financial Management weisen mit den Schwachstellen CVE-2026-70880 und CVE-2026-70921 jeweils den höchsten CVSS-Score von 10.0 auf. Hyperion ist eine Suite für Unternehmensplanung, Budgetierung, Konsolidierung und Finanzberichterstattung, insgesamt sind 261 der im August geschlossenen Lücken der Suite zuzuordnen, betroffen sind die Versionen 11.2.23.0.000 und 11.2.25.0.000.
Noch mehr Lücken betreffen Fusion Middleware, das durch 262 Schwachstellen für Cyberattacken anfällig war. Als gefährlichste eingestuft wurde CVE-2026-61241, ebenfalls mit CVSS 10.0, in der Komponente OID LDAP Server des Verzeichnisdiensts Internet Directory, der Teil von Fusion Middleware ist. Diverse weitere Produkte innerhalb der Suite weisen zusätzliche kritische Sicherheitslücken auf, betroffen sind unter anderem die Versionen 12.2.1.19.0, 12.2.1.4.0, 14.1.1.0.0, 14.1.2.0.0, 14.1.2.1.0, 8.5.8, 15.1.1.0.0, 4.5.33.2.19, 4.5.13.2.20, 1.4.19, 1.4.20 und 4.5.03.2.18.
E-Business Suite durch 120 Schwachstellen gefährdet
Innerhalb der E-Business Suite von Oracle finden sich insgesamt 120 Schwachstellen, von denen zwei kritisch sind. CVE-2026-60782 (CVSS-Score 9.8) betrifft Oracle Payment und CVE-2026-70926 (CVSS-Score 9.8) betrifft Oracle Workflow, betroffen sind die Versionen 12.2.3 bis 12.2.15 der E-Business Suite. Konkrete Informationen zu den genannten Schwachstellen liefert weder die Übersicht von Oracle noch die Datenbank der ENISA, dort werden sie jeweils lediglich als leicht ausnutzbar beschrieben. Voraussetzung für erfolgreiche Angriffe sind Netzwerkzugriffe, eine vorherige Authentifizierung ist nicht notwendig.
Die weiteren Sicherheitslücken, die Oracle beim August-CSPU schloss, betreffen unter anderem die Produkte beziehungsweise Produktfamilien Database Server, Autonomous Health Framework, Application Testing Suite, Commerce, Communications, Enterprise Manager, Financial Services Applications, Analytics, Java SE, JD Edwards, MySQL und PeopleSoft. Wenn du Oracle-Produkte einsetzt, solltest du die Schwachstellen-Matrix deiner Systeme prüfen, die relevanten Sicherheitshinweise durchgehen und die passenden Updates zeitnah einspielen.