Oracle CPU Juli 2026: Rekord mit 1.449 Patches und CVSS 10.0 in WebLogic

Oracle hat am 21. Juli 2026 das größte Critical Patch Update (CPU) seiner Geschichte veröffentlicht: 1.449 Sicherheitspatches für 1.235 einzigartige CVEs in 32 Produktfamilien. Darunter sind 228 Schwachstellen, die über das Netzwerk exploitierbar sind, und mehrere CVSS 10.0 Lücken in WebLogic Server, Coherence und Access Manager. Firmen mit Oracle-Infrastruktur müssen jetzt patchen.

Was ist passiert?

Das Juli-2026 CPU übertrifft alle bisherigen Oracle-Updates: 1.449 individuelle Sicherheitsfixes, 334 betroffene Produkte, 228 netzwerk-exploitierbare Schwachstellen. Besonders kritisch: Mehrere Lücken mit CVSS 10.0 betreffen WebLogic Server und Coherence,Middleware-Komponenten die in vielen Unternehmensumgebungen im Einsatz sind.

Oracle weist darauf hin, dass ein Großteil der Entdeckungen mit KI-unterstützter Analyse erfolgte. Das CPU erschien am 21. Juli 2026 im Rahmen des vierteljährlichen Patch-Zyklus.

Wer ist betroffen?

1. WebLogic Server: Mehrere CVSS 10.0 Lücken, Remote Code Execution ohne Anmeldung
2. Oracle Coherence: Kritische RCE-Schwachstelle (CVSS 10.0)
3. Oracle Access Manager: Authentifizierungs-Bypass (CVSS 9.8)
4. Oracle Database: Mehrere Lücken mit lokaler Rechteausweitung
5. Oracle E-Business Suite: Betroffen, aber kein neuer kritischer Einzel-CVE
6. Java SE: Mehrere Schwachstellen in verschiedenen Komponenten
7. Nicht betroffen: Oracle Cloud Infrastruktur (OCI) wird über gesonderten Update-Zyklus versorgt

Wie kritisch ist das?

CVSS 10.0 (höchste Stufe) für WebLogic und Coherence. 228 der 1.449 Fixes sind netzwerk-exploitierbar ohne Benutzerinteraktion. Das ist das größte Oracle-CPU aller Zeiten und übertrifft das Mai-2026-Update um das Dreifache.

Was sollten Admins jetzt tun?

1. Oracle-Produkte inventarisieren: Alle Oracle-Installationen im Unternehmen erfassen (WebLogic, Database, Java, EBS)
2. WebLogic priorisieren: WebLogic-Server zuerst patchen (CVSS 10.0, aktiv ausnutzbar)
3. Java SE aktualisieren: Alle Java-Installationen auf neuesten Patchstand bringen
4. Database prüfen: Oracle Database Patchlevel prüfen, besonders bei produktiven Systemen
5. Access Manager prüfen: Falls Oracle Access Manager im Einsatz: Sofort patchen (CVSS 9.8)
6. Backup vor Patch: Vor jedem Oracle-Patch ein vollständiges Backup erstellen
7. Change Management: Patch-Einspielungen dokumentieren und testen

Einordnung für Unternehmen

Für Unternehmen mit Oracle-Datenbanken, WebLogic oder Java-Anwendungen ist dieses CPU höchst prioritär. Die schiere Masse an Schwachstellen (1.449) erfordert eine strukturierte Vorgehensweise: zuerst die kritischen Komponenten (WebLogic, Coherence), dann die restlichen Produkte. Kleinere Firmen mit Oracle-Datenbanken sollten prüfen, ob sie betroffen sind und den Patch-Zyklus einplanen.

Passende Anleitungen auf S-EDV

1. Oracle EBS CVE-2026-46817: Payments-Schwachstelle prüfen – Vorheriger Oracle-CVE in der E-Business Suite
2. CISA KEV-Katalog: Patch-Priorisierung für Admins – Wie man große Patch-Wellen strukturiert abarbeitet

Quellen

1. Oracle CPU Advisory Juli 2026
2. Tenable: Oracle July 2026 CPU Analyse
3. SecurityWeek: Oracle Patches Over 1,400 Vulnerabilities
4. IPBan Pro: Prioritäts-Liste der 45 kritischsten CVEs