Blog

Oracles August-2026-Advisory (CSPU) erfordert zeitnahes Handeln

Oracle veröffentlicht regelmäßig Critical Security Patch Updates (CSPUs) und Critical Patch Updates (CPUs), um bekannte Schwachstellen in seinen Produkten zu schließen. Das August-2026-Advisory (CSPU) zeigt Sicherheitslücken auf, die – so schnell es geht – mit einem Update geschlossen werden müssen. Ohne zeitnahe und vom Hersteller freigegebenen Updates bleiben Systeme angreifbar – oft mit schwerwiegenden Folgen für Vertraulichkeit, Integrität und Verfügbarkeit.

In diesem Beitrag beleuchten wir die für typische Oracle-Datenbank-Umgebungen relevanten Schwachstellen aus dem aktuellen Advisory und erklären, warum „irgendwann patchen“ keine Option ist. Gleichzeitig soll man genau hinschauen und nur dann die Gefahrenpotenziale angehen, wenn sie auch tatsächlich da sind.

Die relevanten Schwachstellen im Überblick

Das August-2026-CSPU enthält unter anderem sechs neue Security-Patches für Oracle Database Products. Für viele Produktionsumgebungen (insbesondere Versionen 19c, 21c und 23ai) sind drei CVEs besonders relevant:

CVE-2026-71063 und CVE-2026-71064
Beide betreffen die Komponente Portable Clusterware (Teil der Grid Infrastructure / Oracle Clusterware).

  • Betroffene Versionen: 19.3–19.32, 21.3–21.23 und 23.4.0–23.26.3
  • CVSS 3.1 Base Score: 9.6 (Critical)
  • Angriffsvektor: Adjacent Network (de.: aus dem lokalen Netz des Angreifers heraus erreichbar), genauer die TLS-Komponente von Clusterware/GRID
  • Authentifizierung erforderlich: Nein
  • Scope: Changed (Auswirkungen können über die eigentliche Komponente hinausgehen)

Ein nicht authentifizierter Angreifer mit Zugang zum physischen Kommunikationssegment (z. B. im gleichen Netzwerksegment) kann die Schwachstelle ausnutzen und die Kontrolle über Portable Clusterware übernehmen. Da Clusterware die Grundlage für High-Availability- und RAC-Umgebungen bildet, kann ein erfolgreicher Angriff weitreichende Auswirkungen auf die gesamte Datenbank-Infrastruktur haben. Betroffen sind insbesondere Installationen mit SE-HA oder RAC.

CVE-2026-71100
Betrifft die Kernkomponente RDBMS.

  • Betroffene Versionen: 19.3–19.32, 21.3–21.23 und 23.4.0–23.26.3
  • CVSS 3.1 Base Score: 5.3 (Medium)
  • Angriffsvektor: Network (Oracle Net)
  • Authentifizierung erforderlich: Nein

Die Schwachstelle ermöglicht einem nicht authentifizierten Angreifer mit Netzwerkzugriff über Oracle Net unautorisierten Lesezugriff auf einen Teil der RDBMS-Daten. Auch wenn der Score niedriger ist, bleibt das Risiko real – insbesondere in Umgebungen, in denen der Listener oder Oracle Net nicht strikt abgesichert ist.

Warum die anderen CVEs für viele Umgebungen irrelevant sind

Nicht jede Schwachstelle im Advisory betrifft jede Installation gleichermaßen:

  • CVE-2026-59889 (Fleet Patching and Provisioning / jackson-databind) – wird nur relevant, wenn die entsprechende Komponente tatsächlich eingesetzt wird.
  • CVE-2026-71062 – betrifft ausschließlich neuere 23ai-Versionen und erfordert Authentifizierung.
  • CVE-2026-71102 – setzt HTTP voraus, das in vielen reinen Datenbank-Umgebungen nicht genutzt wird.

Diese Differenzierung zeigt: Eine pauschale „alles patchen“-Strategie ist oft unnötig. Entscheidend ist die gezielte Bewertung der eigenen Architektur.

Die Notwendigkeit geplanter Updates

Oracle selbst weist in den Advisories darauf hin, dass unpatchte Systeme weiterhin aktiv ausgenutzt werden. Workarounds (z. B. Netzwerkabschottung) können Risiken temporär mindern, ersetzen aber keine dauerhafte Absicherung und bergen selbst Betriebsrisiken.

Ein professioneller Patch-Prozess sollte daher folgende Elemente enthalten:

  1. Regelmäßige Evaluation der aktuellen Advisories (CPU/CSPU) gegen die eigene Versions- und Komponentenlandschaft.
  2. Priorisierung nach CVSS-Score, Exploitability und tatsächlicher Exposition (z. B. Adjacent Network vs. reines Network).
  3. Test in Staging-/Pre-Prod-Umgebungen vor dem Rollout in Produktion.
  4. Geplante Wartungsfenster – idealerweise im Rahmen bestehender Change-Management-Prozesse.
  5. Dokumentation und Nachverfolgung, welche Patches auf welchen Systemen ausgerollt wurden.

Besonders bei den beiden Clusterware-Schwachstellen (CVSS 9.6) ist Eile geboten. Ein Angriff auf die Cluster-Schicht kann RAC-Umgebungen und damit die gesamte Hochverfügbarkeit gefährden.

Fazit

Die Sicherheit von Oracle-Datenbanken steht und fällt mit einem disziplinierten, geplanten Update-Prozess. Die aktuellen Schwachstellen CVE-2026-71063, CVE-2026-71064 und CVE-2026-71100 zeigen erneut, dass auch etablierte Komponenten wie Clusterware und RDBMS kritische Lücken aufweisen können – und dass diese ohne Authentifizierung ausnutzbar sind.

Wir werden die SecOps betroffener Kunden informieren und gemäß dem Gefahrenpotenzial priorisiert passende Update-Absprachen treffen.

Quellen: Oracle Critical Security Patch Update Advisory – August 2026 (inkl. Risk Matrix und Verbose-Textform).