Oracle Patchday Oktober 2026: 1295 Patches, SQLi mit CVSS 9.8

Am 20. Oktober 2026 ist das Critical Patch Update (CPU) für Oktober erschienen. Der Oracle Patchday Oktober 2026 bringt es auf 1295 neue Sicherheitspatches, die 1209 eindeutige CVEs über 33 Produktfamilien adressieren. Im Mittelpunkt für Betreiber kritischer Systeme steht die E-Business Suite: Dort verschwindet mit CVE-2026-101767 eine nicht authentifizierte SQL-Injection, die mit CVSS 9.8 bewertet wird. Es ist das letzte quartalsweise CPU des Jahres 2026 — und für viele Umgebungen das mit der unangenehmsten Priorisierungsfrage.

Oracle Patchday Oktober 2026: 1295 Patches über 33 Produktfamilien

Die Severity-Verteilung ist breit, der kritische Anteil gemessen an der Gesamtzahl überschaubar: 112 der 1295 Patches sind als „Critical" eingestuft, was 95 CVEs oder 8,6 Prozent entspricht. Weitere 475 Patches (439 CVEs) liegen auf „High", 613 (582 CVEs) auf „Medium", 95 (93 CVEs) auf „Low".

Nach Produktfamilien sieht die Verteilung so aus:

Fusion Middleware: 206 Patches, davon 134 remote ohne Authentifizierung ausnutzbar
E-Business Suite: 194 / 31
Siebel CRM: 122 / 66
Communications: 110 / 77
PeopleSoft: 109 / 41
JD Edwards: 102 / 44
MySQL: 98 / 29
Java SE: 55 / 49
Database Server: 14 / 4
Virtualization: 6 / 0

Wer nur auf die Zahl der No-Auth-Patches schaut, landet bei Fusion Middleware (134), Communications (77) und Siebel CRM (66). Für die Dringlichkeit ist das aber die falsche Kennzahl: Bei EBS genügt ein einzelner HTTP-Zugriff auf den richtigen Pfad, um ohne jede Anmeldung in die Datenbank zu kommen. Genau deshalb steht die 9.8er-Lücke trotz der im Vergleich kleinen Patch-Menge ganz oben.

CVE-2026-101767: Nicht authentifizierte SQL-Injection in der E-Business Suite

Betroffen ist das Thin Client Framework Servlet der Oracle Application Object Library in den Versionen 12.2.3 bis 12.2.15. Wer per HTTP oder HTTPS auf /OA_HTML/AppsTCFServer zugreifen kann, kann SQL als APPS-Datenbankbenutzer ausführen. Aus dieser Position lässt sich die Schwachstelle verketten, um Betriebssystem-Kommandos unter dem EBS-Application-Account abzusetzen — aus einer Datenbanklücke wird damit ein vollständiger Kompromiss des Applikationsservers.

Der CVSS-Score von 9.8 ist in diesem Fall nicht nur eine Zahl für das Ranking. Er beschreibt einen Angriffsvektor, der über den regulären Web-Port läuft, keine Zugangsdaten voraussetzt und damit auch für Umgebungen relevant ist, die EBS eigentlich nur intern bereitstellen. Reverse Proxys und URL-Firewall-Regeln sind hier die entscheidende Frage: Steht das Servlet erreichbar, ist die Lücke erreichbar.

Ausnutzung: technisch beschrieben, nicht bestätigt

Ob CVE-2026-101767 bereits aktiv ausgenutzt wird, ist nicht belegt. Dokumentiert ist die technische Ausnutzbarkeit bis hin zur Befehlskette, nicht eine laufende Kampagne gegen diese konkrete CVE — eine Einordnung, die bei Patchmeldungen dieser Größenordnung oft verwischt und hier ausdrücklich offenbleiben muss.

Unabhängig davon gibt es für PeopleSoft eine Vorgeschichte: Seit Anfang 2026 kursieren Berichte über eine Zero-Day-Ausnutzung, und es liegen Warnungen vor erneuten Massenangriffen vor, die mit der Gruppe ShinyHunters in Verbindung gebracht werden. Eine Bestätigung des Herstellers für diesen Zusammenhang existiert nicht. Wer daraus eine bestätigte Massenausnutzung der EBS-Lücke macht, überdehnt die Faktenlage.

EBS und PeopleSoft zuerst: Priorisierung und Übergangsmaßnahmen

Für exponierte Instanzen gilt trotzdem eine klare Reihenfolge: internet-facing Systeme und Systeme mit besonders sensiblen Daten zuerst, innerhalb dieser Gruppe E-Business Suite und PeopleSoft vor dem Rest. Das ist keine theoretische Empfehlung, sondern folgt aus der Kombination von ohne Anmeldung erreichbarem Angriffsvektor und dokumentierter PeopleSoft-Vorgeschichte.

Bis der EBS-Patch eingespielt ist, bleiben drei Übergangsmaßnahmen: den Zugriff auf die Web-Tier einschränken, das betroffene Servlet aus der Allowlist der EBS-URL-Firewall entfernen und Anwendungs- sowie Datenbankaktivität überwachen. Alle drei sind ausdrücklich kein Ersatz für den Patch, sie kaufen nur Zeit. Wer das Servlet entfernt, muss vorher prüfen, ob eigene Integrationen darauf zugreifen — sonst tauscht man ein Sicherheitsproblem gegen einen Ausfall.

Neben der EBS-Lücke gibt es weitere hoch bewertete Einzelfälle: CVE-2026-91658 und CVE-2026-91663 mit je CVSS 9.9 sowie CVE-2026-91665 mit 9.8 in Essbase, CVE-2026-91624 mit 9.1 in Agile PLM for Process. Dazu kommen mehrere 8.8er-Funde in BI Publisher (CVE-2026-91579), Oracle OLAP (CVE-2026-91563) und Data Integrator (CVE-2026-91668). Sie stehen nicht im Zentrum der Berichterstattung, sind für betroffene Installationen aber ebenso patchnotwendig.

Java SE 27, JDK 21 und VirtualBox 7.2.22: die Nebenfolgen

Bei Java SE sind es 55 Patches, von denen 49 ohne Authentifizierung remote ausnutzbar sind; der maximale CVSS-Base-Score liegt bei 7.5. Aktualisiert werden Java SE 27.0.1, 25.0.5, 21.0.13, 17.0.21, 11.0.33 und 8u511 — das erste Update für Java 27 überhaupt.

Praktisch relevanter als die Versionsliste dürfte für viele Teams die Lizenzfrage sein: Ab diesem CPU wird Oracle JDK 21 (LTS) nicht mehr unter den kostenlosen NFTC-Bedingungen, sondern unter der OTN-Lizenz für Oracle Java SE bereitgestellt. Für kommerzielle Produktionsumgebungen bedeutet das eine kostenpflichtige Subskription — oder den Wechsel auf Oracle JDK 25 (LTS).

Bei der Virtualisierung fallen nur 6 Patches an, das CVSS-Maximum liegt bei 8.4, keine davon ist ohne Authentifizierung remote ausnutzbar. Empfohlen ist VirtualBox 7.2.22. Die Version liegt auf der Downloadseite bereit, der integrierte Updater findet sie am 21. Oktober 2026 aber noch nicht und betrachtet weiterhin 7.2.20 als aktuell. Wer sich auf den Auto-Updater verlässt, patcht hier also nicht — der manuelle Download ist nötig. Die Momentaufnahme kann sich kurzfristig ändern.

Was Admins jetzt tun sollten

Der Zeitplan ist eng: Am 19. Januar 2027 steht das nächste quartalsweise CPU an, dazwischen liegen Critical Patch Update SunSpots am 17. November und 15. Dezember 2026. Angreifer nutzen immer wieder bereits gepatchte Lücken aus, weil verfügbare Patches nicht eingespielt wurden; empfohlen wird der Wechsel zu einem monatlichen Patch-Zyklus. Zum Vergleich: Im September 2026 wurden bereits 673 Sicherheitslücken geschlossen — die Quartals Intervalle summieren sich inzwischen zu einem Volumen, das sich mit einem jährlichen Wartungsfenster nicht mehr sinnvoll abarbeiten lässt.

Konkret für diese Woche: EBS-Instanzen mit erreichbarem /OA_HTML/AppsTCFServer zuerst, danach PeopleSoft und Fusion Middleware, dann die übrigen Familien nach Exposition. Und unabhängig vom Patchstand einmal prüfen, welche Oracle-Systeme überhaupt aus dem Internet erreichbar sind — diese Liste ist bei den meisten Organisationen länger als erwartet.

Quellen