Oracle heeft zijn Critical Patch Update (CPU) voor oktober 2026 uitgebracht. De update bevat 1.295 nieuwe fixes verspreid over tientallen Oracle-producten. Daarmee komt het totaal uit op 1.209 unieke CVE’s, waaronder 95 kwetsbaarheden met kritieke ernst.
Uit een analyse van Tenable blijkt bovendien dat een groot deel van de issues hoge of middelhoge impact heeft. Voor IT-teams betekent dit vooral één ding: tijdig patchen en goed controleren waar binnen de Oracle-portfolio jouw omgeving raakt.
Wat zit er in de Oracle CPU oktober 2026?
De Oracle CPU oktober 2026 richt zich op meerdere productlijnen. Tenable noemt de volgende aantallen op basis van de toegewezen CVE’s en de ernstniveaus:
- 1.209 unieke CVE’s in deze CPU
- 95 kwetsbaarheden met kritieke ernst
- 439 CVE’s met hoge ernst
- 582 CVE’s met middel ernst
Oracle geeft daarnaast aan dat het periodiek meldingen ontvangt van pogingen om kwetsbaarheden in haar producten uit te buiten. In deze release zijn de betreffende kwetsbaarheden niet als “exploited in the wild” gemarkeerd, maar dat ontslaat teams niet van actie.
Welke Oracle-onderdelen kregen de meeste patches?
In de analyse springen vooral productfamilies eruit waar relatief veel fixes naartoe zijn gegaan. Oracle Fusion Middleware kreeg de meeste aandacht: 206 fixes. Daarvan kunnen 134 kwetsbaarheden op afstand worden misbruikt, zonder authenticatie.
Ook diverse businessapplicaties kregen omvangrijke patchpakketten. Voorbeelden uit de CPU:
- E-Business Suite: 194 fixes
- Siebel CRM: 122 fixes
- Communications: 110 fixes
- PeopleSoft: 109 fixes
- JD Edwards: 102 fixes
- MySQL: 98 fixes
Daarnaast volgden updates voor een reeks andere services en componenten. Denk aan Java SE (55 fixes) en Supply Chain (50 fixes).
Andere productlijnen die ook updates kregen
Naast de meest prominente pakketten werden er ook patches uitgerold voor meerdere systemen en platforms. De CPU noemt onder andere:
- Oracle Essbase
- REST Data Services
- Analytics
- Systems en Database Server
- Construction and Engineering
- Enterprise Manager en GoldenGate
- Trusted Answer Search en Utilities Applications
- Secure Backup en Virtualization
- Autonomous Health Framework en diverse Financial/Retail applicaties
- TimesTen In-Memory Database
- Healthcare en Hospitality Applications
- Commerce, APEX en Application Testing Suite
- Global Lifecycle Management
- NoSQL Database en SQL Developer
Voor veel organisaties is dit precies het soort lijst dat je patchstrategie bepaalt: niet alleen “Oracle platform X draait bij ons”, maar ook welke subonderdelen worden gebruikt in integraties, analytics, datadiensten of beheer tooling.
CVE-2026-91403: Java- en eMudhra-context
Oracle kondigde naast de CPU ook een afzonderlijke security advisory en security alert aan rond CVE-2026-91403. Volgens de bron is dit gerelateerd aan Java’s (en Oracle’s) reactie op het zwakke-key incident rond eMudhra.
Dit is relevant omdat Java en aanpalende Oracle-componenten breed worden ingezet. Als je organisatie Java gebruikt in applicaties, middleware of build- en deploymentprocessen, is het verstandig om CVE-2026-91403 expliciet mee te nemen in je risicobeoordeling.
Wanneer komen de volgende patches?
Oracle heeft aangekondigd dat er in de komende maanden nog meer updates volgen in de vorm van Critical Security Patch Updates (CSPUs). Dit zijn geen “one-off” releases: ze verschijnen op het derde dinsdag van elke maand.
De planning volgens de bron:
- 17 november (CSPU)
- 15 december (CSPU)
- 19 januari 2027 (volgende CPU)
Als je nu al voorbereidt, kun je dit koppelen aan je reguliere change windows zodat je niet elke maand opnieuw alles tegelijk hoeft te plannen.
Waarom je nu moet patchen (ook als “in the wild” niet is gemarkeerd)
Oracle meldt dat het geen van de kwetsbaarheden als exploited in the wild heeft aangemerkt. Toch waarschuwt Oracle dat er periodiek rapporten binnenkomen van exploitatiepogingen tegen haar producten.
Dat betekent dat je patchen vooral ziet als risicobeperking en niet als reactief incidentbeheer. Zeker bij issues die remote misbruik zonder authenticatie mogelijk maken (zoals binnen Fusion Middleware) kan de tijd tot misbruik kort zijn.
Wil je dit pragmatisch aanpakken? Gebruik dan een gefaseerde werkwijze:
- Inventory: bepaal welke Oracle-producten en versies in jouw omgeving actief zijn (inclusief middleware en data-services).
- Prioriteer: start met onderdelen waar remote issues zonder authenticatie kunnen optreden.
- Test: check impact op integraties, datakoppelingen en beheercomponenten.
- Monitor: verhoog tijdelijk logging/alerts rond relevante endpoints na deployment.
Praktische extra aandachtspunten
Veel security teams richten zich op applicatie-updates, maar in dit soort releases gaat het ook om tooling, beheer en datastromen. Daarom is het nuttig om niet alleen naar “servers” te kijken, maar ook naar de keten daaromheen: versies van Java, middleware config, en onderdelen die data ontsluiten via API’s of REST.
Als je wilt vergelijken met recente Oracle-patching in je eigen planning, kun je ook kijken naar eerdere advisories en exploitwaarschuwingen op je radar. Zo bespreekt onze site o.a. actuele Oracle-gerelateerde patchonderwerpen en advisories, zoals Bron: https://www.securityweek.com/oracle-patches-over-1200-vulnerabilities-with-october-2026-cpu/
