Der US-amerikanische Software-Hersteller Oracle hält nur alle drei Monate einen turnusmäßigen Patch Day ab. Oracle spricht dabei von „Critical Patch Updates“ (CPU). Aufgrund des umfangreichen Produktportfolios sowie des relativ langen Update-Turnus fallen dabei regelmäßig mehrere hundert zu beseitigende Lücken an. Im Juli sind, dem Trend bei anderen Herstellern folgend, 1449 Schwachstellen zusammengekommen – das ist die mit großem Abstand höchste Anzahl, seit es CPU-Tage gibt und mehr als im gesamten Jahr 2025.
Wegen der starken Zunahme der durch „KI“-Tools entdeckten Schwachstellen hat Oracle seit dem vorherigen CPU-Tag im April zusätzlich monatliche Sicherheits-Updates eingeführt. Die so genannten „Critical Security Patch Updates“ (CSPU) erscheinen weiterhin am dritten Dienstag eines Monats. Bislang ist Java nicht davon betroffen – das wird sich jedoch bereits im August ändern.
Etliche der beseitigten Schwachstellen sind als kritisch einzustufen. Angaben dazu, ob Schwachstellen bereits für Angriffe ausgenutzt werden (0-Day-Lücken), macht Oracle in seinem aktuellen Sicherheitsbericht nicht. Für die Risikobewertung nutzt Oracle den Industriestandard CVSS 3.1 (Common Vulnerability Scoring Standard), dessen höchster Wert 10.0 ist. Auch Microsoft gibt seit einiger Zeit einen CVSS-Score für beseitigte Sicherheitslücken an.
▶Microsofts Monster-Patchday sprengt alle Rekorde
Die dicksten Brocken
Die meisten Sicherheitslücken hat Oracle beim CPU-Tag im Juli in seiner bis dahin eher unauffälligen E-Business Suite geschlossen. Von 410 Schwachstellen sind 45 ohne Benutzeranmeldung über das Netzwerk ausnutzbar und eine erreicht den hohen CVSS-Score 9.8. Nicht weit dahinter folgt Fusion Middleware mit 355 Sicherheitslücken, von denen 46 aus der Ferne ausnutzbar sind und zehn den CVSS-Score 10.0 erreichen.
Diesmal erst an dritter Stelle liegt Oracles Produktfamilie für die Telekommunikationsbranche (Communications). Von den 168 geschlossenen Lücken sind 122 ohne Benutzeranmeldung über das Netzwerk ausnutzbar, 12 davon erreichen den CVSS-Score 9.8. In den Fußnoten nennt Oracle über 160 weitere Schwachstellen, die beseitigt, aber nicht mitgerechnet sind. PeopleSoft kommt auf 84 Lücken, von denen 45 ohne Benutzeranmeldung über das Netzwerk ausnutzbar sind und sechs den CVSS-Score 9.9 erreichen.
Beim quelloffenen Datenbank-Server MySQL nennt Oracle 54 behobene Schwachstellen. Hier sind neun Lücken ohne Benutzeranmeldung über das Netzwerk ausnutzbar und eine erreicht den CVSS Score 8.5. Die neuesten verfügbaren MySQL-Versionen (MySQL Community Server) sind 9.7.1 (LTS – Long Term Support) und 8.4.10 (LTS). Der Versionszweig 8.0 hat mit dem CPU-Tag im April das Support-Ende erreicht, die letzte Version ist 8.0.46.
Java-Updates für sechs Versionen
In Java SE (Standard Edition) hat Oracle insgesamt 19 Sicherheitslücken geschlossen (CVSS-Höchstwert 7.8), von denen 17 ohne Benutzeranmeldung übers Netzwerk ausnutzbar sind. Anders als bislang üblich hat Oracle den nächsten Update-Termin für Java bereits für den 18. August angekündigt. Ab 2027 soll Java monatliche Sicherheits-Updates erhalten. Den halbjährlichen Turnus für Feature-Updates (neue Hauptversionen) will Oracle hingegen beibehalten.
Das im März freigegebene Java 26 erhält sein zweites Sicherheits-Update, das zehn Lücken stopft. Nach einem dritten Update im August wird Java 26 bereits im September durch Java 27 abgelöst.
▶Die neuesten Sicherheits-Updates
Java 25 ist hingegen eine LTS-Version (Long Term Support) und soll bis Sommer 2033 gepflegt werden. Auch Java 21, Java 17 und Java 11 sind LTS-Versionen. Sie werden acht Jahre lang mit Updates versorgt, Java 11 sogar bis 2032. Der neueste Stand sind die Versionen 25.0.4, 21.0.12, 17.0.20 und 11.0.32. Wer Java 21 kommerziell nutzt, benötigt dafür ab Oktober 2026 eine kostenpflichtige Lizenz. Für Java 25 gilt dies ab Oktober 2028. Für private Nutzung sowie für Entwickler bleibt jedoch weiterhin alles kostenlos.
Für Anwender bleibt laut Oracle weiterhin vorwiegend Java 8 (JRE – Java Runtime Environment) relevant und von Oracle empfohlen. Die neueste Version ist Java 8 Update 501 (8u501). Darin hat Oracle 18 Schwachstellen beseitigt. Unternehmen und Behörden müssen seit April 2019 für die Java-8-Updates zahlen, Privatpersonen und Entwickler nicht.
Tipp: Unabhängig davon, dass Sie Ihre Programme stets aktuell halten, sollten Sie die Sicherheit Ihres PCs zusätzlich mit geeigneter Antivirus-Software verbessern. Gute Antivirus-Lösungen stellen wir in „Die besten Antivirus-Programme 2025 im Test: So schützen Sie Ihren Windows-PC“ vor. Falls Sie großen Wert auf anonymes Surfen legen, sind wiederum gute VPN-Programme einen Blick wert.
Lücken in VirtualBox
In der quelloffene Virtualisierungslösung VirtualBox hat Oracle 16 Schwachstellen (max. CVSS 7.8) beseitigt, von denen keine übers Netzwerk ausnutzbar ist. Womöglich lässt es die eine oder andere der Lücken zu, Code aus der VM auf dem Host-System auszuführen. Die neue, abgesicherte VirtualBox-Version ist 7.2.14. Der ältere Versionszweig 7.1 hat mit dem CPU-Tag im April das Ende der Fahnenstange erreicht: Oracle beendet den Support.
Der nächste turnusmäßige Oracle CPU-Tag ist am 20. Oktober 2026. Seit April 2022 sind diese Termine stets am dritten Dienstag im Januar, April, Juli und Oktober. Seit Mai 2026 werden je nach Dringlichkeit auch monatlich Updates bereitgestellt, die eingangs erwähnten CSPU.
SOCIAL SHARE CARD GENERATOR