Der US-amerikanische Software-Hersteller Oracle hält nur alle drei Monate einen turnusmäßigen Patch Day ab. Oracle spricht dabei von „Critical Patch Updates“ (CPU). Aufgrund des umfangreichen Produktportfolios sowie des relativ langen Update-Turnus fallen dabei regelmäßig mehrere hundert zu beseitigende Lücken an. Im April sind 481 Schwachstellen zusammengekommen – das ist die dritthöchste Anzahl seit es CPU-Tage gibt. Im Juli 2023 und im April 2022 waren es sogar über 500. Rechnet man die diversen CVEs aus den Fußnoten mit, kommt man auch in diesem Monat auf weit über 500.
Etliche der beseitigten Schwachstellen sind als kritisch einzustufen. Angaben dazu, ob Schwachstellen bereits für Angriffe ausgenutzt werden (0-Day-Lücken), macht Oracle in seinem aktuellen Sicherheitsbericht nicht. Für die Risikobewertung nutzt Oracle den Industriestandard CVSS 3.1 (Common Vulnerability Scoring Standard), dessen höchster Wert 10.0 ist. Auch Microsoft gibt seit einiger Zeit einen CVSS-Score für beseitigte Sicherheitslücken an.
| Produkt | neue Version | beseitigte Lücken | CVSS-Score |
|---|---|---|---|
| Java 8 | 8u491 | 9 | 7.5 |
| Java 11 (LTS) | 11.0.31 | 8 | 7.5 |
| Java 17 (LTS) | 17.0.19 | 8 | 7.5 |
| Java 21 (LTS) | 21.0.11 | 8 | 7.5 |
| Java 25 (LTS) | 25.0.3 | 9 | 7.5 |
| Java 26 | 26.0.1 | 8 | 7.5 |
| MySQL | 9.7.0 / 8.4.9 / 8.0.46 | 34 | 9.8 |
| VirtualBox | 7.2.8 / 7.1.18 | 9 | 7.5 |
Die dicksten Brocken
Beim CPU-Tag im April hat Oracle die mit Abstand meisten Sicherheitslücken, wie schon im gesamten letzten Jahr, in seiner Produktfamilie für die Telekommunikationsbranche (Communications) geschlossen. Von den 139 Lücken sind 93 ohne Benutzeranmeldung über das Netzwerk ausnutzbar, davon erreichen 11 den hohen CVSS-Score 9.8. In den Fußnoten nennt Oracle über 100 weitere Schwachstellen, die beseitigt, aber nicht mitgerechnet sind.
In Oracles Lösungen für die Finanzdienstleister sind 75 gestopfte Lücken zusammengekommen. Davon sind 59 ohne Anmeldung per HTTP übers Netzwerk ausnutzbar, eine kommt auf den CVSS-Score 9.8. Fusion Middleware folgt mit 59 Sicherheitslücken, von denen 46 aus der Ferne ausnutzbar sind und zwei den CVSS-Score 9.8 erreichen.
▶Die neuesten Sicherheits-Updates
Für den quelloffenen Datenbank-Server MySQL nennt Oracle 34 behobene Schwachstellen. Hier sind drei Lücken ohne Benutzeranmeldung über das Netzwerk ausnutzbar und erreichen den CVSS Score 9.8. Die Updates schließen noch ein Dutzend weiterer Lücken, die Oracle nur in den Fußnoten aufführt. Die neuesten verfügbaren MySQL-Versionen (MySQL Community Server) sind 9.7.0 (LTS – Long Term Support), 8.4.9 (LTS) und 8.0.46.
Java-Updates
In Java SE (Standard Edition) hat Oracle insgesamt 11 Sicherheitslücken geschlossen (CVSS-Höchstwert 7.5), von denen sieben ohne Benutzeranmeldung übers Netzwerk ausnutzbar sind. Das gerade im März freigegebene Java 26 erhält sein erstes Sicherheits-Update, das acht Lücken stopft. Nach einem zweiten Update im Juli wird Java 26 bereits im September durch Java 27 abgelöst.
Java 25 ist hingegen eine LTS-Version (Long Term Support) und soll bis Sommer 2033 gepflegt werden. Auch Java 21, Java 17 und Java 11 sind LTS-Versionen. Sie werden acht Jahre lang mit Updates versorgt, Java 11 sogar bis 2032. Der neueste Stand sind die Versionen 25.0.3 21.0.11, 17.0.19 und 11.0.31. Wer Java 21 kommerziell nutzt, benötigt dafür ab Oktober 2026 eine kostenpflichtige Lizenz. Für Java 25 gilt dies ab Oktober 2028. Für private Nutzung sowie für Entwickler bleibt jedoch weiterhin alles kostenlos.
Für Anwender bleibt laut Oracle weiterhin vorwiegend Java 8 (JRE – Java Runtime Environment) relevant und von Oracle empfohlen. Die neueste Version ist Java 8 Update 491 (8u491). Darin hat Oracle neun Schwachstellen beseitigt. Unternehmen und Behörden müssen seit April 2019 für die Java-8-Updates zahlen, Privatpersonen und Entwickler nicht.
VirtualBox
In der quelloffene Virtualisierungslösung VirtualBox hat Oracle neun Schwachstellen (max. CVSS 7.5) beseitigt, von denen eine übers Netzwerk ausnutzbar ist. Womöglich lässt es die eine oder andere der Lücken zu, Code aus der VM auf dem Host-System auszuführen. Neue, abgesicherte VirtualBox-Versionen sind 7.2.8 sowie 7.1.18. Letztere hat damit das Ende der Fahnenstange erreicht: Oracle beendet den Support.
Der nächste turnusmäßige Oracle CPU-Tag ist am 21. Juli 2026. Seit April 2022 sind diese Termine stets am dritten Dienstag im Januar, April, Juli und Oktober.
SOCIAL SHARE CARD GENERATOR