Oracle Critical Patch Update Oktober 2026

Der neue RU ist seit kurzem verfügbar und bringt uns damit auf 19.33 sowie 23.26.4.

Wie auch schon bei den letzten RUs, sind in Wirklichkeit noch viel, viel mehr Security Lücken behoben - mit 19.32/23.26.3 waren es über 500, von denen nur rund 50 überhaupt eine CVE Nummer hatten. Es ist davon auszugehen, dass dies auch für diesen RU zutrifft.

Dieses Mal sind folgende zusätzliche CVEs enthalten:

Additional CVEs addressed are:

The patch for CVE-2026-75803 also addresses CVE-2026-14456, CVE-2026-14457, CVE-2026-18798, CVE-2026-54874, CVE-2026-63072, CVE-2026-63074, CVE-2026-63075, and CVE-2026-63076.
The patch for CVE-2026-54399 also addresses CVE-2025-27820, CVE-2026-40542, and CVE-2026-54428.
The patch for CVE-2026-59889 also addresses CVE-2026-54515.
The patch for CVE-2026-93569 also addresses CVE-2026-89044, CVE-2026-93492, CVE-2026-93493, CVE-2026-93494, CVE-2026-93560, CVE-2026-93561, CVE-2026-93563, CVE-2026-93564, CVE-2026-93565, CVE-2026-93566, CVE-2026-93567, CVE-2026-93568, CVE-2026-93572, CVE-2026-93573, CVE-2026-93574, CVE-2026-93575, CVE-2026-93576, CVE-2026-93578, and CVE-2026-93579.

Additional patches included for the following non-exploitable CVEs for this Oracle product family:

Clusterware (Apache MINA SSHD): CVE-2026-56624, CVE-2026-56452, CVE-2026-56623 and CVE-2026-58624 [VEX Justification: vulnerable_code_not_in_execute_path].
Oracle Spatial and Graph (gdal): CVE-2026-11824, CVE-2025-6965, CVE-2025-70873 and CVE-2026-11822 [VEX Justification: vulnerable_code_not_in_execute_path].
RDBMS (Apache Log4j): CVE-2026-49844 [VEX Justification: vulnerable_code_cannot_be_controlled_by_adversary].
RDBMS (Apache Tomcat): CVE-2026-87022, CVE-2026-65182, CVE-2026-65183, CVE-2026-65637, CVE-2026-65905, CVE-2026-65927, CVE-2026-66422, CVE-2026-68525, CVE-2026-68569, CVE-2026-68763, CVE-2026-73180, CVE-2026-73581, CVE-2026-75973, CVE-2026-76183, CVE-2026-77756, CVE-2026-77762, CVE-2026-77791, CVE-2026-78383, CVE-2026-78437, CVE-2026-79677, CVE-2026-86248 and CVE-2026-86350 [VEX Justification: vulnerable_code_not_in_execute_path].
RDBMS (DBI): CVE-2026-78030 [VEX Justification: vulnerable_code_cannot_be_controlled_by_adversary].
RDBMS (jline): CVE-2026-56741 [VEX Justification: vulnerable_code_not_in_execute_path].
RDBMS (jsoup): CVE-2026-71497 [VEX Justification: vulnerable_code_not_in_execute_path].

Da der CVE-2026-75803 mit 9.8 besonders kritisch ist und prinzipiell alle Datenbanken betrifft - sofern TLS genutzt wird, sollte man den RU auf alle Fälle zügig einplanen. Auch die CVE-2026-91503 und CVE-2026-91568 treffen alle Datenbanken und weisen hohe Scores auf.

Der RU ist für Linux x86_64 schon verfügbar. Der DataPump Bundle Patch sollte in den nächsten Tagen verfügbar werden. Andere Plattformen müssen sich noch bis Monatsende gedulden.

Breadcrumb