AKTUELL
Oracle-Sicherheitsupdate September 2026: Drei Middleware-Lücken erreichen CVSS 10
Oracle hat am 15. September 2026 sein neues Sicherheitsupdate für zahlreiche selbst betriebene Unternehmensprodukte veröffentlicht. Der Hersteller führt 673 Patches auf; die unabhängige Auswertung von Tenable ordnet sie 672 verschiedenen CVE-Kennungen zu. Besonders dringend sind drei Schwachstellen in Oracle Fusion Middleware, die ohne Anmeldung über das Netzwerk angreifbar sind und im CVSS-System die Höchstwertung 10,0 erreichen.
Betroffen sind nicht pauschal alle Computer mit Oracle-Software. Entscheidend sind das tatsächlich eingesetzte Produkt, dessen Version und die Erreichbarkeit der jeweiligen Schnittstelle. Für Administratoren deutscher und europäischer Organisationen ist die Veröffentlichung dennoch ein wichtiger Wartungstermin, weil Oracle-Produkte häufig zentrale Geschäftsprozesse, Identitätsdienste, Datenbanken und Webanwendungen tragen.
Oracle-Sicherheitsupdate September 2026 umfasst 17 Produktfamilien
Das offizielle Oracle-Advisory deckt 17 Produktfamilien ab. Dazu gehören unter anderem Oracle Database Server, E-Business Suite, Fusion Middleware, Hyperion, PeopleSoft, Siebel CRM, Java SE und verschiedene Kommunikations-, Analyse- und Virtualisierungsprodukte. Die Zahl von 673 Patches ist deshalb keine Aussage darüber, wie viele Lücken auf einem einzelnen Server vorhanden sind.
Tenable zählt 672 unterschiedliche CVEs, weil eine Schwachstelle in mehr als einer Produktmatrix auftauchen kann. Nach der unabhängigen Auswertung gelten 104 der 673 Patches als kritisch, 503 als hoch, 59 als mittel und sieben als niedrig eingestuft. Diese Verteilung hilft bei der ersten Sichtung, ersetzt aber keine Prüfung der eigenen Systemlandschaft: Ein öffentlich erreichbarer Dienst ohne vorgeschaltete Anmeldung kann dringlicher sein als eine zahlenmäßig größere Gruppe nur lokal ausnutzbarer Fehler.
Drei Fehler erlauben Angriffe ohne Konto und Nutzeraktion
Die höchste Priorität innerhalb von Fusion Middleware verdienen CVE-2026-71133 im Oracle Access Manager, CVE-2026-83099 in Oracle Forms und CVE-2026-83059 im Oracle Internet Directory. Oracle bewertet alle drei Lücken mit CVSS 10,0. Laut Risikomatrix können Angreifer sie über das Netzwerk ohne vorhandenes Benutzerkonto und ohne Mitwirkung eines Nutzers ausnutzen. Ein erfolgreicher Angriff könnte Vertraulichkeit, Integrität und Verfügbarkeit der betroffenen Systeme schwer beeinträchtigen.
Die konkret erfassten Versionszweige unterscheiden sich. Beim Access Manager nennt Oracle 12.2.1.4.0 und 14.1.2.1.0, bei Oracle Forms 12.2.1.19.0 und 14.1.2.0.0, beim Internet Directory wiederum 12.2.1.4.0 und 14.1.2.1.0. Diese Angaben sollten nicht verkürzt auf „alle Oracle-Server“ übertragen werden. Sie zeigen vielmehr, welche Installationen zuerst mit dem eigenen Inventar und der Patch-Matrix abgeglichen werden müssen.
Wichtig ist auch die Grenze der Meldung: Weder Oracle noch Tenable melden in ihren Veröffentlichungen eine bestätigte aktive Ausnutzung dieser drei neuen Schwachstellen. Die Höchstwertung beschreibt das mögliche technische Schadenspotenzial und die niedrigen Angriffshürden, nicht die bereits beobachtete Verbreitung von Angriffen.
E-Business Suite und Fusion Middleware tragen den größten Anteil
Die meisten Korrekturen entfallen auf die Oracle E-Business Suite mit 159 Patches. 19 der dort aufgeführten Schwachstellen stuft Oracle als über das Netzwerk ohne Anmeldung ausnutzbar ein. Fusion Middleware folgt mit 153 Patches, von denen 78 diese Angriffseigenschaft besitzen. Bei Hyperion sind es 102 Patches und 50 ohne Anmeldung ausnutzbare Fehler. Der Database Server erhält elf neue Korrekturen; fünf betreffen Schwachstellen, die sich laut Hersteller ohne Zugangsdaten aus der Ferne angreifen lassen.
Auch hier dürfen die Zahlen nicht einfach addiert und als Zahl unabhängiger Lücken verstanden werden. Komponenten und CVEs können in mehreren Oracle-Produkten wiederkehren. Für E-Business-Suite-Umgebungen weist Oracle ausdrücklich darauf hin, zusätzlich die eingesetzten Database- und Fusion-Middleware-Komponenten zu aktualisieren, weil deren Korrekturen nicht vollständig in der E-Business-Suite-Matrix wiederholt werden.
Was Administratoren jetzt prüfen sollten
Der erste Schritt ist ein belastbares Inventar: Produktname, genaue Version, installierter Patchstand und erreichbare Protokolle müssen zur Oracle-Matrix passen. Danach sollte die Reihenfolge nach Exposition und möglicher Schadenswirkung festgelegt werden. Internet- oder partnerseitig erreichbare Access-Manager-, Forms- und Directory-Systeme gehören wegen der drei CVSS-10-Lücken an die Spitze. Anschließend folgen weitere Dienste, die ohne Anmeldung angesprochen werden können, sowie Systeme mit besonders sensiblen Daten oder zentraler Authentifizierungsfunktion.
Oracle stellt die CSPU-Patches für unterstützte Versionen seiner selbst betriebenen Produkte bereit. Ältere, nicht mehr von Premier oder Extended Support abgedeckte Ausgaben wurden laut Hersteller nicht auf alle genannten Fehler geprüft, könnten aber ebenfalls betroffen sein. In solchen Fällen genügt es nicht, in der aktuellen Patchliste keinen passenden Download zu finden; Betreiber müssen den Wechsel auf eine unterstützte Version einplanen.
Netzwerkprotokolle vorübergehend zu sperren oder Berechtigungen einzuschränken kann das Risiko laut Oracle mindern, kann jedoch Anwendungen beschädigen und schließt die eigentliche Schwachstelle nicht. Solche Maßnahmen sollten daher nur kontrolliert, zunächst außerhalb der Produktion getestet und nicht als dauerhafter Ersatz für die Updates behandelt werden.
Das September-Paket gehört zu Oracles neuem monatlichen CSPU-Programm, das die großen vierteljährlichen Critical Patch Updates ergänzt. Die Oracle-Übersicht zum Patchprogramm beschreibt die zusätzlichen Termine als gezielte Auslieferung wichtiger Korrekturen. Für Unternehmen verkürzt sich damit der Abstand zwischen verfügbaren Sicherheitsfixes – allerdings nur, wenn Inventarisierung, Tests und Wartungsfenster mit dem neuen Rhythmus Schritt halten.
Stand der Recherche: 16. September 2026, 12:00 Uhr CEST.
Hauptquellen
- Oracle: Critical Security Patch Update Advisory – September 2026
- Oracle: Übersicht zu Critical Patch Updates und Critical Security Patch Updates
- Tenable: Analyse des Oracle-Sicherheitsupdates vom September 2026
Transparenzhinweis: Dieser Beitrag beruht auf öffentlich zugänglichen Sicherheitsmitteilungen und einer unabhängigen Auswertung. Die Updates wurden nicht auf eigenen Oracle-Systemen getestet.
Technik-Deals im Überblick
Ausgewählte Angebote und zeitlich begrenzte Preisaktionen rund um Technik und Gadgets.
Mehr auf gadgetChecks
Entdecke mehr bei gadgetChecks
Was sich für dich ändert
Regeln, Fristen, Kosten und Warnungen mit ihren konkreten Folgen für Verbraucher.
Alltag Aktuell öffnenGames, Plattformen und Deals
Aktuelle Meldungen zu Releases, Konsolen, PC Gaming, Mobile, Studios und Abos.
Gaming öffnenProdukte, Angebote und Ideen
Neues für Küche, Reinigung, Wohnen, Garten und Balkon – verständlich und praktisch eingeordnet.
Zuhause öffnen
