CPU 機制緣起
2005 年 1 月 18 日起，Oracle 推出季度 CPU 機制。客戶反饋傾向「定期、可預期」的修補節奏，季度頻率在「及時防護」與「運維負擔」間取得平衡，降低計劃管理成本，避免零星補丁衝突與重複測試。
首期 CPU (2005/01/18) 覆蓋範圍
- Oracle Database、Application Server、Collaboration Suite、E-Business Suite 安全漏洞修復；
- 包含先決條件修補程式，確保大多數客戶無衝突直接應用；
- 引入「風險矩陣」量化漏洞嚴重度（機密性/完整性/可用性影響、利用條件、受影響組件）。
風險矩陣核心作用
- 客戶自主評估系統風險敞口；
- 按優先級排序修補計劃；
- 針對性設計回歸測試用例；
- 不洩露可被攻擊者利用的技術細節。
發布節奏與通知渠道
| 年份 | 發布日期 (最接近月中第三個周二) |
|---|
| 2005 | 1/18、4/12、7/19、10/18 |
通知渠道：Metalink、OTN Security Alert 頁面、Oracle Security RSS。
緊急情況應對：Out-of-band 警告
若出現「迫在眉睫的嚴重威脅」，Oracle 將通過 Metalink 發布計劃外安全警告並提供立即下載補丁，後續併入常規 CPU。
適用產品線
- Database、Application Server、Enterprise Manager、Collaboration Suite、E-Business Suite；
- PeopleSoft 併購後安全流程整合中，未來納入統一 CPU；
- 跨產品線累積式發布：最新 CPU 包含所有歷史 CPU 修復，僅需應用最新版。
補丁衝突與依賴管理
- CPU 基於最新 Patch Set 累積構建；
- 包含常見先決條件補丁（特別是 EBS 推薦補丁）；
- 客戶錯過歷史 CPU 只需應用最新 CPU 即可追平（如 9.2.0.5 客戶跳過 1 月直接應用 4 月 CPU 即含 1 月修復）。
ISV 生態協同
ISV 同步獲得通知，Oracle 規劃擴展計劃加速 ISV 認證進度，縮短客戶等待窗口。
Oracle 內部安全工程投入
- 專項安全代碼審查，聚焦高發缺陷模式；
- 大規模源碼靜態掃描工具鏈部署；
- 全球安全編碼實踐培訓課程推廣；
- 每版本安全驗收標準；
- 內部+外部滲透測試（紅隊演練）。
客戶行動清單
- Metalink 用戶自動訂閱 CPU 通知，無需額外註冊；
- 持有有效支持合同但未註冊 Metalink 的客戶，立即註冊；
- 無支持合同客戶聯繫銷售代表獲取補丁權限；
- 建立內部 CPU 處理 SLA（如：關鍵漏洞 72 小時內完成測試部署）。
CPU 機制將安全修補從「被動滅火」轉型為「主動風險管理」，是企業構建可持續安全防禦體系的關鍵基礎設施。
