Is de Oracle's Critical Patch Update van Juli 2026 speciaal ?

of valt dit gewoon binnen de reguliere 3 maanden CPU cyclus?

Hoewel de Critical Patch Update (CPU) van juli 2026 inderdaad qua planning deel uitmaakt van Oracle's reguliere driemaandelijkse cyclus, is deze specifieke release absoluut uitzonderlijk en historisch te noemen. Het is de grootste beveiligingsupdate in de geschiedenis van het bedrijf.

Dit zijn de belangrijkste redenen waarom deze CPU zo speciaal is:

• Recordbrekende omvang: De update bevat maar liefst 1.449 beveiligingspatches (die 1.235 unieke CVE's verhelpen) verdeeld over 32 productfamilies. Dit is ongeveer drie keer groter dan het eerdere record van 520 patches uit april 2022, en 3,7 keer groter dan het normale kwartaalvolume van Oracle.
• Gedreven door Kunstmatige Intelligentie (AI): De enorme piek in gevonden kwetsbaarheden wordt direct toegeschreven aan de inzet van AI. Oracle heeft geavanceerde AI-modellen, waaronder Anthropic's Claude Mythos Preview en modellen van OpenAI, geïntegreerd in hun interne beveiligingsonderzoek. AI kan code analyseren en kwetsbaarheden op een schaal en snelheid opsporen waar menselijke onderzoekers jaren over zouden doen.
• Focus op Oracle's eigen code in plaats van third-party software: Normaal gesproken is ongeveer twee derde van een Oracle-patchronde bedoeld voor kwetsbaarheden in meegeleverde third-party (open-source) software. Bij deze update is die verhouding volledig omgedraaid: ruim 76% van de patches (1.110 CVE's) is bedoeld voor fouten in Oracle's eigen code. Ter vergelijking: het historische gemiddelde was slechts zo'n 102 eigen CVE's per kwartaal.
• Interne ontdekkingen (geen externe onderzoekers): Circa 95% van de gevonden kwetsbaarheden in Oracle's eigen code vermeldt geen externe security-onderzoeker. Dit bevestigt dat de fouten vrijwel volledig intern door Oracle's eigen (AI-)systemen zijn ontdekt, en dus niet door de externe security-community zijn gerapporteerd.
• Grote impact en ongekende ernst: De gigantische hoeveelheid patches betekent niet dat het slechts om onbelangrijke bugs gaat. Er zitten 261 kritieke kwetsbaarheden in de update. Meerdere kwetsbaarheden in onder meer Fusion Middleware en PeopleSoft kregen de maximale CVSS-score van 10.0. Dit betekent dat ze op afstand en zonder inloggegevens (unauthenticated) misbruikt kunnen worden om systemen volledig over te nemen.

Kortom: hoewel de patch op het verwachte moment in juli uitkwam, maken de schaal, de onderliggende oorzaak (AI-detectie) en de samenstelling van de update deze CPU tot een ongekende gebeurtenis in de software-industrie.