Thought Leadership
1.449 Sicherheitskorrekturen an einem einzigen Tag: So viele Patches wie nie zuvor hat ein großer Softwarekonzern zu seinem quartalsweisen Patchday veröffentlicht.
Für Admins, die die betroffenen Produkte im Einsatz haben, dürfte das bedeuten, in den kommenden Wochen einiges an Zeit für die Priorisierung und das Einspielen der Updates einzuplanen. Ein Blick in die Danksagungen verrät einen möglichen Grund für den Anstieg: Externe Forscher werden nur bei 64 der Schwachstellen als Melder genannt. Der überwiegende Teil der gefundenen Lücken stammt damit offenbar aus der eigenen internen Analyse des Herstellers, der im April angekündigt hatte, verstärkt auf KI-gestützte Werkzeuge zur Schwachstellensuche zu setzen. Dabei geht es um den Softwareanbieter Oracle.
Die Zahl ist zwar auf den ersten Blick alarmierend, spiegelt aber vor allem die Größe moderner Software-Ökosysteme sowie den branchenweiten Trend zu aggressiverem, automatisiertem Scanning wider. Problematisch wird es eher für die IT-Teams, die nun unter Zeitdruck kritische von unkritischen Fixes trennen müssten, ohne den Betrieb zu stören.
Ein vergleichbares Muster zeigt sich bei Microsoft: Der Juli-Patchday brachte 622 CVE-Einträge, nachdem bereits der Juni mit 206 CVEs einen bisherigen Höchstwert erreicht hatte. Microsofts Windows-Verantwortlicher Pavan Davuluri hatte vorab angekündigt, dass der zunehmende KI-Einsatz bei der Fehlersuche zu mehr Sicherheitsupdates führen werde, und auf automatisierte Patch-Mechanismen als Entlastung verwiesen.
Monatlicher Zwischentakt seit Mai
Um trotz der wachsenden Fundmenge schneller reagieren zu können, hat der Hersteller sein Patch-Modell im Mai 2026 erweitert: Neben dem bestehenden Quartalszyklus gibt es seither zusätzlich monatliche Critical Security Patch Updates (CSPUs), die gezielt die dringendsten Lücken schließen sollen. Betroffenen Kunden empfiehlt der Konzern außerdem, auf eigene Support-Strukturen wie My Oracle Support, das Technical Account Management und Customer Success zurückzugreifen.
Zehn Höchstrisiko-Lücken
Zehn der 1.449 Patches erreichen den maximalen CVSS-Wert von 10.0. Alle zehn betreffen Oracle Fusion Middleware. Zwei davon stuft das niederländische NCSC als besonders kritisch ein:
| CVE | Betroffenes Produkt | Angriffsweg |
|---|---|---|
| CVE-2026-47056 | Oracle Data Integrator | HTTP, ohne Authentifizierung |
| CVE-2026-60217 | Oracle Coherence | TCP, ohne Authentifizierung |
Für beide gibt es bislang keine CWE-Klassifizierung, sie gelten laut NCSC-NL aber als leicht ausnutzbar. Die Behörde warnt, dass Angreifer je nach Lücke Schadcode ausführen, Daten einsehen oder Systeme komplett übernehmen könnten. Die fehlende Authentifizierungspflicht erhöhe das Ausnutzungsrisiko zusätzlich.
Zwei weitere Lücken mit hoher Kritikalität betreffen den Datenbankserver selbst: CVE-2026-47040 (CVSS 9.1) im Oracle Net Service ermöglicht unautorisierten Zugriff auf gespeicherte Daten und kann den betroffenen Dienst wiederholt zum Absturz bringen. Die höchste Einzelbewertung des gesamten Updates trägt CVE-2026-61211 (CVSS 9.9) im DBMS_CLOUD-Paket: Hier reichen laut Badanoiu bereits niedrige Zugriffsrechte aus, um per Remote-Code-Execution die komplette Datenbank sowie andere Produkte zu übernehmen, die auf sie zugreifen.
Was Admins jetzt tun sollten
Angesichts der Menge an Patches empfiehlt sich eine klare Priorisierung nach Schweregrad, insbesondere für die zehn Lücken mit Höchstwertung sowie die beiden vom NCSC hervorgehobenen kritischen Schwachstellen in Fusion Middleware. Wer Oracle Data Integrator, Coherence oder betroffene Datenbank-Komponenten im Einsatz hat, sollte die entsprechenden Updates vorrangig einspielen.
(red)
