Oracle veröffentlichte am 20. Oktober 2026 sein Oktober-Critical-Patch-Update (CPU) mit 1.295 neuen Sicherheitspatches. Die Oracle-Ankündigung umfasst Schwachstellen in Oracle-Code und in Drittanbieterkomponenten, die in Oracle-Produkte eingebunden sind. Oracle-CPUs sind üblicherweise kumulativ; jedes Update führt die seit dem vorherigen CPU hinzugekommenen Korrekturen auf.
Patchzahlen für ausgewählte Produktfamilien
Oracle nennt für mehrere Produktfamilien eigene Patchzahlen. Die Auswahl ist keine vollständige Aufschlüsselung der insgesamt 1.295 Patches.
| Oracle-Produktbereich | Gemeldete Patches |
| E-Business Suite | 194 |
| Fusion Middleware | 206 |
| Java SE | 55 |
| Database Products | 126 |
| Communications | 110 |
| JD Edwards | 102 |
Die CPU-Liste umfasst außerdem Produktbereiche wie MySQL, PeopleSoft, Solaris und VirtualBox. Für die Bestandsaufnahme zählt daher, welche Oracle-Produkte tatsächlich eingesetzt werden, nicht nur, welche Familien in der Tabelle stehen.
Oracle zufolge können 31 Patches für E-Business Suite, 134 für Fusion Middleware, 49 für Java SE, 77 für Communications und 44 für JD Edwards aus der Ferne ohne Authentifizierung ausnutzbare Schwachstellen betreffen. Diese Zahlen beschreiben mögliche Ausnutzbarkeit, nicht bestätigte Angriffe.
Für welche Versionen Oracle Patches bereitstellt
Oracle stellt CPU-Patches nur für Produktversionen bereit, die unter Premier Support oder Extended Support stehen. Welche Versionen und Installationsschritte für ein Produkt gelten, führt Oracle in produktspezifischen Verfügbarkeits- und Installationsunterlagen auf. Wer eine nicht mehr unterstützte Version einsetzt, fällt damit nicht unter diese CPU-Abdeckung; Oracle empfiehlt den Wechsel auf unterstützte Versionen.
CVE-2026-75803: Oracle Database Server
Oracle bewertet CVE-2026-75803 mit CVSS 3.1: 9,8. Die Schwachstelle liegt in der RDBMS-OpenSSL-Komponente von Oracle Database Server. Betroffen sind die unterstützten Versionen 19.3–19.32 und 23.4.0–23.26.3. Der Angriff erfolgt über das Netzwerk via TLS; Authentifizierung und Nutzerinteraktion sind laut Oracle-Risikomatrix nicht erforderlich.
Oracle zu Patches und vorläufigen Maßnahmen
Oracle empfiehlt, die CPU-Sicherheitspatches so bald wie möglich anzuwenden. Bis zur Installation können Administratoren laut Oracle das für einen Angriff erforderliche Netzwerkprotokoll blockieren oder unnötige Berechtigungen entfernen. Solche Maßnahmen können Funktionen beeinträchtigen, sollten zunächst in einer Nicht-Produktionsumgebung getestet werden und ersetzen keine dauerhafte Behebung durch Patches.
