Security – Critical patch update Oracle oktober 2025
Op 21 oktober 2025 heeft Oracle haar laatste Critical Patch Update (CPU) van 2025 uitgebracht. Dit is de manier waarop Oracle security patches beschikbaar stelt voor haar producten. Dit is noodzakelijk om op een gestructureerde manier de gevonden kwetsbaarheden in de Oracle software op te lossen. Deze CPU bevat 374 nieuwe security patches voor de gehele productfolio van Oracle, waarvan wij er een aantal uitlichten, die mogelijk voor je organisatie van toepassing zijn.
In de media
Oracle blijft periodiek meldingen ontvangen van pogingen om op kwaadaardige wijze misbruik te maken van kwetsbaarheden waarvoor Oracle al beveiligingspatches heeft uitgebracht. In sommige gevallen is gemeld dat aanvallers succesvol zijn geweest omdat de beoogde klanten er niet in waren geslaagd de beschikbare Oracle-patches toe te passen. Oracle raadt klanten daarom ten zeerste aan actief ondersteunde versies te blijven gebruiken en zonder uitstel beveiligingspatches zoals Critical Patch Updates toe te passen!
Oracle database server
In de CPU van oktober worden 6 kwetsbaarheden gemeld die in deze CPU voor de database worden opgelost. De geïdentificeerde versies zijn Oracle 19.3-19.28, 21.3-21.19 en 23.4-23.9. Twee componenten bevatten kwetsbaarheden die zonder autorisatie remote toegang tot de database mogelijk maken. De hoogste CVSS score is een 7.3. Ons advies is de databases met de eerst volgende patchronde te updaten.
Oracle Client installaties
Deze CPU bevat één kwetsbaarheid die van toepassing is op een Oracle client installatie (zonder RDBMS). Ons advies is de clients met de eerst volgende patchronde te updaten.
Oracle Application Express
APEX bevat drie kwetsbaarheden en meerdere patches van derden in de versies 23.2 en 24.1. De hoogste CVSS score is 6.3. Ons advies is om APEX met de eerst volgende patchronde te updaten.
Oracle GoldenGate
Voor Oracle GoldenGate worden zes kwetsbaarheden opgelost in deze CPU, twee kunnen worden misbruikt voor het verkrijgen van remote toegang zonder enige authenticatie. De hoogste CVSS score is een 9.8. Het betreft de Oracle GoldenGate versies 12.21.4.0-12.2.1.4.250515, 19.1.0.0.0-19.1.0.0.11 en 21.3-21.19 en 23.4-23.9. Ons advies is om GoldenGate met de eerst volgende patchronde te updaten.
Oracle REST Data Services
ORDS bevat één nieuwe kwetsbaarheid. Het betreft de versie 25.2.1 met een CVSS score van 4.3. Ons advies is om ORDS met de eerst volgende patchronde te updaten.
Oracle SQL Developer
Voor SQL Developer zelf zijn er één kwetsbaarheid en meerdere patches van derden. Het advies is de meest recente versie te gebruiken, SQL Developer 24.3.1 versie 24.3.1.347.1826 .
Oracle Fusion Middleware en WebLogic
Fusion Middleware, waar WebLogic Server onder valt, bevat 20 nieuwe kwetsbaarheden waarvan er 17 misbruikt kunnen worden voor het verkrijgen van remote toegang zonder enige authenticatie. Voor WebLogic zijn er vier kwetsbaarheden gerapporteerd waarvan er één met een CVSS score van 7. Het treft de WebLogic versies 14.1.1.0.0 en 14.1.2.0.0.
Gegeven het aantal en de impact van de kwetsbaarheden is het advies WebLogic Server direct te patchen.
Oracle Enterprise Manager
Het aantal kwetsbaarheden gerelateerd aan Enterprise Manager is ook deze keer relatief beperkt. De Enterprise Manager bevat 3 nieuwe kwetsbaarheden waarvan er twee misbruikt kunnen worden voor het verkrijgen van remote toegang zonder enige authenticatie. De hoogste CVSS score is 7.5. Het treft hier de versies 12.2.1.4.9, 13.5, 14.1.1.0.0-14.1.2.0.0 en 24.1.
Gegeven de impact van deze kwetsbaarheden en de kwetsbaarheden in Fusion Middleware, waar Oracle Enterprise Manager gebruik van maakt, is het advies Enterprise Manager direct te patchen.
Oracle Java SE
Vijf nieuwe kwetsbaarheden worden voor Oracle Java SE geadresseerd in deze CPU, alle vijf kunnen worden misbruikt voor het verkrijgen van remote toegang zonder enige authenticatie. De hoogste CVSS score van deze kwetsbaarheden in Oracle Java SE heeft een classificatie van 7.5. De geraakte versies zijn 8u461-b50, 8u461, 8u461-perf, 11.0.28, 17.0.16, 21.0.8, 25.
Gegeven de impact van deze kwetsbaarheden is het advies Oracle Java SE direct te patchen.
Oracle MySQL
In deze patch worden 18 nieuwe kwetsbaarheden voor de MySQL database opgelost Zeven van deze kwetsbaarheden kunnen worden misbruikt voor het verkrijgen van remote toegang zonder enige authenticatie. Waarvan er acht met een CVSS score van 9.8. De kwetsbaarheden betreffen de versies 8.0.0-8.0.43, 8.4.0-8.4.6 en 9.0.0-9.4.0.
Gezien het grote aantal kwetsbaarheden wordt geadviseerd direct naar de laatste minor release te upgraden.
Oracle Virtualization
Met de patch voor VirtualBox worden 9 nieuwe kwetsbaarheden opgelost. Geen van deze kwetsbaarheden kan misbruikt worden voor het verkrijgen van remote toegang zonder enige authenticatie.
Het advies is altijd de meest recente versie van VirtualBox te gebruiken, versie7.2.4.
Algemeen
Elk patch advies bevat nieuwe kwetsbaarheden die in de software zijn gevonden. Software die niet is gepatcht, maakt het voor hackers extra makkelijk om data te stelen of te verminken. Reden genoeg om regelmatig te patchen. In een patchplan bepaal je o.a. hoe vaak per jaar er minimaal gepatcht wordt om te voorkomen dat het een ad-hoc beslissing blijft. Op Windows komen de CPU’s later beschikbaar komen, tot zeker een maand na aankondiging.
Advies nodig bij het opstellen van een patchplan? Neem gerust contact met ons op voor een vrijblijvend gesprek.
Release planning
De volgende CPU’s staan gepland voor:
- 20 januari 2026
- 21 april 2026
- 21 juli 2026
- 20 oktober 2026
Verwijzingen
Meer informatie over deze CPU is te vinden via pagina “Oracle Security Alerts” en op de pagina’s “Database documentatiën Map” en Fusion Middleware documentation map staan verwijzingen naar waar en welke patch te downloaden.
We hopen dat we je met dit artikel Critical Patch update Oracle juli 2025 op weg hebben geholpen. Mocht je hulp nodig hebben of je hebt vragen n.a.v. dit artikel, laat het ons dan weten.
