Oracle PeopleSoft Zero-Day-Schwachstelle ermöglicht Remotecodeausführung
Picus Security berichtet über eine kritische Zero-Day-Schwachstelle in Oracle PeopleSoft Enterprise PeopleTools, die vor der Veröffentlichung eines Patches ausgenutzt wurde. Die Lücke ermöglicht Angreifern die ferngesteuerte Ausführung von beliebigem Code.
Das Cybersicherheitsunternehmen Picus Security hat eine kritische Schwachstelle mit der Bezeichnung CVE-2026-35273 detailliert beschrieben, die Oracle PeopleSoft Enterprise PeopleTools betrifft. Diese Zero-Day-Schwachstelle mit einem CVSS-Score von 9,8 ermöglicht eine nicht authentifizierte Remotecodeausführung (RCE).
Die Schwachstelle wurde bereits in freier Wildbahn aktiv ausgenutzt, bevor Oracle einen Patch veröffentlichte. Die Cybersicherheits- und Infrastruktursicherheitsbehörde der USA (CISA) hat sie in ihren Katalog der bekannten ausgenutzten Schwachstellen (KEV) aufgenommen. Insbesondere die Versionen PeopleTools 8.61 und 8.62 mit einem internetzugänglichen Environment Management Hub gelten als dringlich angreifbar.
Die Bedrohungsgruppe UNC6240, öffentlich bekannt als ShinyHunters, wurde mit der Ausnutzung dieser Schwachstelle in Verbindung gebracht. Die Gruppe hat hauptsächlich den Sektor der Hochschulbildung ins Visier genommen, mit Hinweisen auf Datendiebstahl und Erpressungsforderungen. Die öffentliche Veröffentlichung gestohlener Daten auf ihrer Leak-Seite ist eine bekannte Taktik.
Die Schwachstelle ergibt sich daraus, dass der Endpunkt /PSEMHUB/hub des PeopleSoft Environment Management Hub serielle Daten, die an den Server gesendet werden, nicht sicher verarbeitet. Ein Angreifer kann eine speziell präparierte Anfrage senden, die vom Server ohne ordnungsgemäße Authentifizierung deserialisiert wird. Dies ermöglicht dem Angreifer die Ausführung beliebiger Klassen, was zu einer vollständigen Kompromittierung des Systems führen kann.
Picus Security bietet über seine Plattform Organisationen die Möglichkeit, Angriffe wie CVE-2026-35273 zu simulieren. Dies ermöglicht Unternehmen, die Wirksamkeit ihrer bestehenden Sicherheitskontrollen gegen neu auftretende Bedrohungen zu testen und zu validieren sowie das Risiko potenzieller Datenpannen zu mindern.