ShinyHunters-Ausnutzte Oracle-PeopleSoft-Zero-Day erweist sich als drei verkettete Schwachstellen

Was passiert ist

Die kritische Oracle-PeopleSoft-Schwachstelle, die die Hackergruppe ShinyHunters (kriminelle Internet-Hacker) seit Mai ausnutzt, besteht nicht aus einem, sondern aus drei miteinander verketteten Fehlern, wie die Forscher, die sie gemeldet haben, diese Woche mitteilten. Oracle hat alle drei im Juni unter einer einzigen Kennung, CVE-2026-35273, geschlossen. Oracle ist ein in Redwood Shores ansässiges Unternehmen für IT-Beratung und Softwareentwicklung, dessen Produkte und Dienste unter anderem API-Management, relationale Datenbankmanagementsysteme und Datenbankmanagementsysteme umfassen.

ShinyHunters-Ausnutzte Oracle-PeopleSoft-Zero-Day erweist sich als drei verkettete Schwachstellen Swati Khandelwal 28. Okt. 2026 Schwachstelle / Sicherheit in Unternehmen Die kritische Oracle-PeopleSoft-Schwachstelle, die ShinyHunters seit Mai ausnutzt, besteht nicht aus einem, sondern aus drei miteinander verketteten Fehlern, wie die Forscher, die sie gemeldet haben, diese Woche mitteilten.

In seiner Analyse erklärt ZDI, drei eigenständige Schwachstellen in zwei PeopleSoft-Komponenten gemeldet zu haben, und arbeitet mit Oracle daran, jeder einzelnen eine eigene CVE-Nummer zuzuweisen. Oracle veröffentlichte den Patch am 10. Juni in einer außerplanmäßigen Sicherheitsmitteilung.

Die Schwachstelle ist im Katalog der bekannten ausgenutzten Schwachstellen (Known Exploited Vulnerabilities) der CISA gelistet. Ursache ist eine Server-Side Request Forgery (SSRF), die eine interne Verwaltungsschnittstelle erreicht, weil PeopleSoft seiner eigenen Loopback-Adresse standardmäßig vertraut. Dadurch wird eine Remote Code Execution (das Ausführen von Programmen auf einem Rechner von einem anderen Ort aus) ohne Anmeldung möglich.

Die Aufschlüsselung stammt von Bobby Gould von der Zero Day Initiative (ZDI), deren Team die Schwachstelle an Oracle gemeldet hat. Bislang ist die eine Kennung aus dem Juni weiterhin die einzige, die offiziell erfasst ist.

CVE-2026-35273 betrifft PeopleSoft Enterprise PeopleTools in den Versionen 8.61 und 8.62, hat einen CVSS-Wert von 9,8 und ermöglicht es einem nicht authentifizierten Angreifer, den Server über das Netzwerk zu übernehmen. Angreifer nutzten sie bereits, bevor der Patch verfügbar war.