News zu Servicewelten
Oracle hat gestern im Rahmen seines regulären Patch-Zyklus ein umfangreiches Sicherheitsupdate veröffentlicht. Dieses adressiert insgesamt » 337 Schwachstellen, die sowohl den eigenen Quellcode als auch eingebundene Komponenten von Drittanbietern betreffen. Wie bereits bei früheren Updates wirken sich einige der identifizierten Schwachstellen auf mehrere Produkte gleichzeitig aus.
Eine zeitnahe Installation der bereitgestellten Patches ist entscheidend, um potenzielle Risiken wie Datenverlust, Systemunterbrechungen oder Reputationsschäden wirksam zu reduzieren.
Zur besseren Orientierung haben wir die relevantesten Updates für die bei unseren Kunden eingesetzten Oracle-Produkte kompakt aufbereitet. Ergänzend dazu findest du im weiteren Verlauf eine Übersichtstabelle mit den jeweiligen Base Scores, um die Kritikalität der einzelnen Schwachstellen besser einschätzen zu können.
Dieses Critical Patch Update umfasst » 51 neue Sicherheitspatches für Oracle Fusion Middleware. 47 der behobenen Schwachstellen sind potenziell ohne Authentifizierung aus der Ferne ausnutzbar, das heißt, ein Angriff kann über das Netzwerk erfolgen, ohne dass gültige Benutzeranmeldedaten erforderlich sind.
Gerade diese Art von Schwachstellen gilt als besonders kritisch, da sie Angreifern unter Umständen einen direkten Zugriff auf betroffene Systeme ermöglichen können. In Umgebungen, in denen Oracle Fusion Middleware internet- oder netzwerkseitig exponiert ist, besteht daher ein erhöhtes Risiko für unbefugte Zugriffe, Datenmanipulation oder die Übernahme von Diensten.
Für Oracle MySQL stellt Oracle » 20 neue Sicherheitspatches bereit. Sieben der Schwachstellen lassen sich potenziell aus der Ferne und ohne Authentifizierung ausnutzen.
Solche Schwachstellen sind besonders relevant für MySQL-Instanzen, die direkt oder indirekt aus dem Netzwerk erreichbar sind – etwa in Web‑, Cloud- oder Container-Umgebungen. Ein erfolgreicher Angriff kann unter anderem zu unautorisiertem Zugriff auf Datenbanken, Datenverlust oder der Beeinträchtigung der Verfügbarkeit führen.
Für Oracle Java SE umfasst dieses Critical Patch Update insgesamt » 11 neue Sicherheitspatches. Alle behobenen Schwachstellen sind potenziell ohne Authentifizierung aus der Ferne ausnutzbar. Entsprechend ist das Risiko insbesondere in Umgebungen mit aktiv genutzten Java-Runtimes als hoch einzustufen.
Bei der Bewertung der CVSS-Scores ist ein wichtiger Kontext zu beachten: Die angegebenen Werte gehen davon aus, dass ein Benutzer, der ein Java-Applet oder eine Java-Web-Start-Anwendung ausführt, über Administratorrechte verfügt – ein Szenario, das unter Windows häufig anzutreffen ist. Wird Java hingegen ohne administrative Berechtigungen ausgeführt, wie es typischerweise unter Solaris oder Linux der Fall ist, reduzieren sich die Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit, was nicht bedeutet, dass kein Risiko besteht.
Im Bereich der Oracle-Datenbankprodukte bringt dieses Critical Patch Update insgesamt » sieben neue Sicherheitspatches mit sich, ergänzt durch weitere Updates für Komponenten von Drittanbietern. Zwei der behobenen Schwachstellen gelten als aus der Ferne und ohne Authentifizierung ausnutzbar.
Darüber hinaus ist einer der Patches speziell für reine Client-Installationen relevant, also für Systeme, auf denen kein Oracle Database Server, sondern ausschließlich Client-Komponenten installiert sind. Diese Besonderheit ist vor allem in Entwicklungs‑, Administrations- oder Anwendungsumgebungen wichtig, da Client-Systeme bei Patchbewertungen häufig übersehen werden.
Für Oracle Enterprise Manager stellt das aktuelle Critical Patch Update » vier neue Sicherheitspatches bereit. Alle adressierten Schwachstellen sind potenziell ohne Authentifizierung aus der Ferne ausnutzbar. Client-only-Installationen sind hiervon nicht betroffen, da keiner der Patches für Umgebungen gilt, in denen Oracle Enterprise Manager selbst nicht installiert ist.
Wichtig für die Bewertung der Gesamtrisiken ist die enge technische Verzahnung von Oracle Enterprise Manager mit Oracle Database und Oracle Fusion Middleware. Enterprise-Manager-Produkte beinhalten Komponenten aus beiden Produktfamilien, die ebenfalls von den in den jeweiligen Abschnitten beschriebenen Schwachstellen betroffen sein können. Das tatsächliche Expositionsrisiko hängt daher maßgeblich von den eingesetzten Versionen der Oracle Database und der Oracle Fusion Middleware ab.
Zu beachten ist außerdem, dass Sicherheitsupdates für Oracle Database und Oracle Fusion Middleware nicht separat in der Risk Matrix von Oracle Enterprise Manager aufgeführt sind. Da Schwachstellen in diesen Komponenten jedoch direkte Auswirkungen auf Enterprise-Manager-Installationen haben können, empfiehlt Oracle ausdrücklich, das Critical Patch Update vom Januar 2026 auch für die Oracle-Database- und Oracle-Fusion-Middleware-Komponenten innerhalb von Enterprise Manager einzuspielen.
Die folgende Übersicht stellt die wichtigsten Informationen noch einmal kompakt dar – inklusive des jeweils höchsten CVSS-Basiswerts pro Produktbereich.
|
Betroffenes Produkt
|
Anzahl Patches
|
Remote ausnutzbar?
|
Höchster Base Score
|
|---|---|---|---|
|
Oracle Fusion Middleware (WebLogic Server)
|
51
|
ja (47)
|
10.0
|
|
Oracle MySQL Server
|
20
|
ja (7)
|
9.8
|
|
Oracle Java SE
|
11
|
ja (11)
|
7.5
|
|
Oracle Database Server
|
7
|
ja (2)
|
7.4
|
|
Enterprise Manager (Cloud Control)
|
4
|
ja (4)
|
7.2
|
Detaillierte Informationen zum aktuellen Critical Patch Update sowie zu früheren Updates und Sicherheitswarnungen findest du in den » Oracle Security Alerts.
Zur optimalen Planung hat Oracle die nächsten Termine für kommende Patch-Veröffentlichungen bereits angekündigt:
Das aktuelle Oracle Critical Patch Update (CPU) zeigt erneut, wie breit gefächert und kritisch das Bedrohungspotenzial innerhalb komplexer Oracle-Umgebungen ist. Zahlreiche der behobenen Schwachstellen sind remote und ohne Authentifizierung ausnutzbar, was insbesondere für netzwerkexponierte Systeme ein erhöhtes Risiko darstellt. Entsprechend sollte das CPU nicht als optionales Wartungsupdate, sondern als essenzieller Bestandteil des Sicherheitsmanagements betrachtet werden.
Wir empfehlen, die eigene Oracle-Landschaft zeitnah und strukturiert zu prüfen:
Unternehmen, die ihre Patchprozesse regelmäßig überprüfen, Updates zeitnah einspielen und Abhängigkeiten konsequent berücksichtigen, reduzieren nicht nur technische Risiken, sondern schützen auch ihre Geschäftsprozesse, Daten und Reputation nachhaltig. Das Oracle Critical Patch Update bleibt damit ein zentraler Baustein für einen wirksamen und proaktiven IT-Sicherheitsansatz.
Kennst du schon unseren ASPICON Patch-Management-Service?
Als unser Kunde profitierst du von unserem Patch-Management-Service. Das heißt:
Ruf uns gern an, um dich auf unserer Patchliste eintragen zu lassen und deine Systeme optimal zu schützen: +49.371.909515–100
Marcel
Senior Account Manager bei ASPICON
Tel: +49.371.909515–100
Hier findest du Infos zu den vergangenen » Patch Updates und weitere nützliche Hinweise zum Thema Patchen im Allgemeinen aus unserem News und Insights Bereich.
Share this article
Sie sehen gerade einen Platzhalterinhalt von YouTube. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie müssen den Inhalt von reCAPTCHA laden, um das Formular abzuschicken. Bitte beachten Sie, dass dabei Daten mit Drittanbietern ausgetauscht werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von Facebook. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr Informationen