CVE-2026-35273: kritische Schwachstelle in Oracle PeopleSoft wird aktiv ausgenutzt

CVE-2026-35273: kritische Schwachstelle in Oracle PeopleSoft wird aktiv ausgenutzt

In Kürze

Laut dem NVD-Eintrag existiert eine kritische Schwachstelle (CVE-2026-35273, CVSS 9.8) in Oracle PeopleSoft Enterprise PeopleTools, in der Komponente Updates Environment Management der Versionen 8.61 und 8.62 [1]. Ein Angreifer ohne Zugangsdaten und mit Netzwerkzugriff über HTTP könnte sie leicht ausnutzen und die vollständige Kontrolle über das System übernehmen [1]. Die Schwachstelle ist im Katalog der aktiv ausgenutzten Schwachstellen (KEV) von CISA gelistet, was darauf hinweist, dass sie bereits bei realen Angriffen ausgenutzt wird [2]. Wenn Ihre Organisation PeopleSoft PeopleTools 8.61 oder 8.62 einsetzt, besteht die heutige Priorität darin, zu ermitteln, ob exponierte Instanzen vorhanden sind, und den Patch von Oracle unverzüglich anzuwenden.

Was es ist und warum es wichtig ist

CVE-2026-35273 ist eine Schwachstelle durch fehlende Authentifizierung in kritischen Funktionen der Komponente Updates Environment Management von PeopleSoft Enterprise PeopleTools [1]. Laut der offiziellen NVD-Beschreibung handelt es sich um einen "leicht ausnutzbaren" Fehler, der weder ein Benutzerkonto noch eine Interaktion des Nutzers seitens des Angreifers erfordert und der die Vertraulichkeit, Integrität und Verfügbarkeit des Systems vollständig kompromittieren kann (CVSS 3.1: AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) [1]. Die Bewertung von 9.8 von 10 stuft sie als kritisch ein [1]. Die Tatsache, dass sie im KEV-Katalog von CISA aufgeführt ist, bestätigt, dass es sich nicht um ein theoretisches Risiko handelt: Es gibt bereits dokumentierte aktive Ausnutzung [2]. Veröffentlicht am 11. Juni 2026, handelt es sich um eine aktuelle Schwachstelle, die als dringend behandelt werden muss [1].

Wen es betrifft

Betroffen sind die Versionen 8.61 und 8.62 von Oracle PeopleSoft Enterprise PeopleTools [1]. Der betroffene Hersteller ist Oracle [1]. Unser OCIRIA-Bedrohungsradar weist darauf hin, dass solche Systeme in der Regel für die Personal- und Gehaltsabrechnung eingesetzt werden, was bedeutet, dass eine Kompromittierung sensible Mitarbeiterdaten und interne administrative Prozesse des Unternehmens offenlegen könnte. Es sei klargestellt, dass diese Angabe zur typischen Nutzung aus dem allgemeinen Kontext unseres Radars stammt und keine spezifische Bestätigung von Oracle für den konkreten Fall darstellt; wenn Ihr Unternehmen PeopleSoft PeopleTools in den genannten Versionen betreibt, sollten Sie sich unabhängig vom genutzten Funktionsmodul als potenziell betroffen betrachten.

Wie Sie feststellen, ob Sie betroffen sind

Der erste Schritt besteht darin, zu bestätigen, welche PeopleTools-Version bei Ihnen im Einsatz ist und ob es sich um Version 8.61 oder 8.62 handelt [1]. Da die Ausnutzung über das Netzwerk via HTTP ohne erforderliche Authentifizierung erfolgt [1], ist es besonders wichtig zu überprüfen, welche PeopleSoft-Instanzen dem Internet oder wenig kontrollierten Netzwerken zugänglich sind. Wir empfehlen, Ihre exponierte Angriffsfläche zu überprüfen, um von außen sichtbare PeopleSoft-Assets zu identifizieren und deren Überprüfung zu priorisieren. Da im KEV-Katalog bereits aktive Ausnutzung verzeichnet ist [2], ist es zusätzlich ratsam, die Zugriffsprotokolle Ihrer PeopleSoft-Umgebungen auf anomale Muster oder nicht authentifizierte Zugriffe auf die Funktionen der Komponente Updates Environment Management zu überprüfen.

Wie Sie sich schützen

• Identifizieren Sie alle Umgebungen mit Oracle PeopleSoft Enterprise PeopleTools in den Versionen 8.61 oder 8.62 [1].
• Spielen Sie so schnell wie möglich den Patch bzw. das Update ein, das Oracle für diese Schwachstelle veröffentlicht hat; da sie im KEV-Katalog gelistet ist, haben viele Organisationen enge regulatorische Fristen für die Behebung [2].
• Überprüfen Sie die Zugriffsprotokolle von PeopleSoft auf nicht autorisierte Aktivitäten oder Ausnutzungsversuche, da eine aktive Ausnutzung bestätigt ist [2].
• Beschränken Sie den HTTP-Zugriff auf die PeopleSoft-Umgebungen aus nicht vertrauenswürdigen Netzwerken, während Sie das Patchen abschließen, da die Ausnutzung keine Authentifizierung erfordert [1].
• Priorisieren Sie diese Schwachstelle gegenüber anderen mit geringerer Schwere: Mit einem CVSS-Wert von 9.8 und der Präsenz im KEV-Katalog ist das Risiko einer vollständigen Kompromittierung real und aktuell [1][2].

Häufig gestellte Fragen

Benötige ich Zugangsdaten, damit diese Schwachstelle ausgenutzt werden kann? Nein. Laut NVD erfordert der Angriff weder Authentifizierung noch eine Interaktion des Nutzers, sondern lediglich Netzwerkzugriff über HTTP [1].

Handelt es sich nur um eine theoretische Bedrohung? Nein. Die Schwachstelle steht im KEV-Katalog von CISA, der nur Schwachstellen mit bestätigter aktiver Ausnutzung enthält [2].

Betrifft es alle PeopleSoft-Versionen? Die verfügbaren Daten weisen speziell auf die Versionen 8.61 und 8.62 von PeopleTools hin [1]; wenn Sie eine andere Version verwenden, prüfen Sie dennoch bei Oracle, ob diese betroffen ist.

Was passiert, wenn ich nicht sofort patchen kann? Beschränken Sie den Netzwerkzugriff auf die betroffene Umgebung und überwachen Sie die Protokolle, während Sie das Patchen planen, angesichts des Risikos einer nicht authentifizierten Ausnutzung [1][2].

Quellen

• [1] NVD — Offizieller Eintrag zu CVE-2026-35273: nvd.nist.gov/vuln/detail/CVE-2026-35273
• [2] CISA — Katalog bekannter ausgenutzter Schwachstellen (KEV): cisa.gov/known-exploited-vulnerabilities-catalog