Oracle-Administratoren müssen diese Woche mehr als tausend Schwachstellen bewerten, sechs davon haben den höchstmöglichen CVSS-Wert von 10,0. Die Updates betreffen Software für Authentifizierung, Finanzwesen, Datenbanken und andere kritische Abläufe.
Das am 20. Okt. veröffentlichte vierteljährliche Critical Patch Update von Oracle enthält laut einer Analyse von Tenable 1.295 Sicherheits-Patches zur Behebung von 1.209 eindeutigen CVEs in 33 Produktfamilien. Mehrere Schwachstellen mit maximalem Schweregrad können aus der Ferne ohne Authentifizierung ausgenutzt werden. Sicherheitsteams müssen betroffene Bereitstellungen identifizieren, insbesondere von Diensten, die aus nicht vertrauenswürdigen Netzwerken erreichbar sind.
Sechs CVSS-10,0-Schwachstellen betreffen zentrale Unternehmenssysteme
Oracles offizielle Risikomatrizen identifizieren sechs Schwachstellen mit maximalem Schweregrad, die potenziell alle aus der Ferne ohne Authentifizierung ausgenutzt werden können. Sie betreffen vier Gruppen von Unternehmenssoftware.
| Oracle-Produkt | CVE-Kennungen |
|---|---|
| E-Business Suite Workflow Notification Mailer | CVE-2026-101809 |
| Oracle Access Manager | CVE-2026-87337 |
| Oracle SOA Suite | CVE-2026-91231, CVE-2026-91216, CVE-2026-91221 |
| JD Edwards EnterpriseOne Orchestrator | CVE-2026-91299 |
Oracle führt als betroffene Versionen der E-Business Suite 12.2.3 bis 12.2.15, des Access Managers 12.2.1.4.0 und 14.1.2.1.0, der SOA Suite 12.2.1.4.0 und 14.1.2.0.0 sowie des JD Edwards EnterpriseOne Orchestrators 9.2.0.0 bis 9.2.26.5 auf.
Die Probleme des Access Managers und der SOA-Adapter nutzen HTTP, während zwei Schwachstellen der SOA Fabric Layer T3 und IIOP betreffen. Die potenzielle Ausnutzbarkeit ohne Authentifizierung bedeutet nicht, dass Angriffe stattgefunden haben. Der Sicherheitshinweis bestätigt keine aktive Ausnutzung dieser sechs CVEs.
Fusion Middleware umfasst die meisten Updates
Tenable zählte 112 kritische Patches für 95 eindeutige CVEs. Oracle Fusion Middleware erhielt 206 Patches, davon 134, die potenziell aus der Ferne ohne Authentifizierung ausgenutzt werden können. Es folgten die E-Business Suite mit 194 Patches, Siebel CRM mit 122, Communications mit 110, PeopleSoft mit 109 und JD Edwards mit 102.
Die Zahl der Patches und Schwachstellen unterscheidet sich, weil ein CVE möglicherweise Updates in mehreren Oracle-Produkten erfordert. Unternehmen, die mehrere Produktfamilien einsetzen, benötigen unter Umständen unterschiedliche Updates, um dasselbe zugrunde liegende Problem zu beheben. Oracles frühere Patch-Veröffentlichung zur Behebung von 943 Schwachstellen liefert zusätzlichen Kontext für die wiederkehrende Patch-Arbeitslast.
Wie Sicherheitsteams Oracle-Patches priorisieren sollten
Oracle forderte Kunden auf, die Oktober-Updates umgehend zu installieren und seine produktspezifischen Patch-Empfehlungen zu nutzen.
Administratoren sollten betroffene Systeme anhand von Schweregrad, Netzwerkausrichtung und Geschäftsauswirkungen priorisieren und anschließend Tests und Bereitstellung mit den Verantwortlichen der Anwendungen koordinieren. Auch interne Systeme müssen bewertet werden: Die Beschränkung des Internetzugangs beseitigt nicht jeden möglichen Ausnutzungsweg.
Administratoren der E-Business Suite sollten die zugrunde liegenden Komponenten von Oracle Database und Fusion Middleware separat prüfen. Oracle zufolge sind deren Sicherheitsupdates nicht in der Risikomatrix der E-Business Suite enthalten. Eine Prüfung ausschließlich dieser Matrix kann daher dazu führen, dass relevante Updates übersehen werden.
- Exponierte Systeme identifizieren: Den Bestand an Oracle-Produkten und -Versionen erfassen, einschließlich von Systemen, die vom Anbieter verwaltet werden. Diese mit Oracles Risikomatrizen abgleichen und internetseitig erreichbare Authentifizierungs-, Workflow- und Anwendungsdienste kennzeichnen. Frühere Oracle-SQL-Injection-Angriffe, die Remote-Codeausführung ermöglichen liefern zusätzlichen Kontext für die Bewertung exponierter Anwendungen.
- Zugriff während des Patchens beschränken: Verwundbare HTTP-, T3- und IIOP-Endpunkte priorisieren. Unnötige Netzwerkexposition begrenzen, Wartungsfenster koordinieren und vor der Installation der Updates Sicherungs- und Rollback-Verfahren vorbereiten.
- Behebung bestätigen: Installierte Patch-Stände überprüfen, wichtige Geschäftsfunktionen testen, gegebenenfalls erneut scannen und ungelöste Ausnahmen mit zugewiesenen Verantwortlichen und Zieldaten nachverfolgen.
Unternehmen, die die Oracle-Administration auslagern, sollten einen Nachweis über die Patch-Bereitstellung anfordern und sich nicht lediglich darauf verlassen, dass ein Anbieter die geplante Installation der Updates bestätigt. Wenn eine sofortige Behebung nicht praktikabel ist, sollten vorübergehende Zugriffskontrollen und ein verbindlicher Überprüfungstermin dokumentiert werden. Frühere PeopleSoft-Angriffe, die Web-Application-Firewall-Regeln umgingen zeigen, warum kompensierende Kontrollen validiert werden müssen und den zugrunde liegenden Patch nicht ersetzen können. Sicherheitsteams sollten außerdem relevante Protokolle auf ungewöhnliche Aktivitäten prüfen, ohne von einer erfolgten Ausnutzung auszugehen.
Lesen Sie auch: Ein aktuelles Beispiel dafür, warum Zuständigkeit und Überprüfung wichtig sind, finden Sie unter wie ein ungepatchtes Oracle-PeopleSoft-System in einem mit dem FBI verbundenen ShinyHunters-Datenleck eine Rolle spielte.