Oracle PeopleSoft: aktiv ausgenutzte Lücke, CISA warnt

Eine kritische Lücke in Oracle PeopleSoft wurde zwischen Ende Mai und Anfang Juni aktiv für Ransomware-Angriffe ausgenutzt und die US-Cyberbehörde CISA hat reagiert. Am 12. Juni 2026 nahm CISA die Schwachstelle CVE-2026-35273 in ihren Katalog der bekannten ausgenutzten Schwachstellen auf und bestätigte damit den Missbrauch durch Ransomware-Akteure. Sicherheitsforscher von Mandiant ordnen die Angriffe der Gruppe ShinyHunters zu, die zwischen dem 27. Mai und dem 9. Juni vor allem den Hochschulsektor getroffen haben soll; Rapid7 beobachtete die Ausnutzung bei mehreren Kunden. Wer PeopleSoft betreibt, sollte den Patchstand jetzt prüfen, nicht beim nächsten Wartungsfenster.

Verwandt:Patch-Priorisierung: Warum CVSS allein das SOC überfordert  /  Wenn der Backup-Server selbst zur Schwachstelle wird

Was die Lücke so gefährlich macht

CVE-2026-35273 steckt in Oracle PeopleSoft Enterprise PeopleTools, betroffen sind nach übereinstimmenden Berichten die Versionen 8.61 und 8.62. Die technische Einordnung lautet auf eine fehlende Authentifizierung für eine kritische Funktion, in der Praxis eine unauthentifizierte Kette von Server-Side Request Forgery bis zur Codeausführung. Der CVSS-Wert von 9,8 markiert das obere Ende der Skala.

Der entscheidende Punkt ist das Wort unauthentifiziert. Ein Angreifer muss keine gestohlenen Zugangsdaten besitzen und keine Hürde der Anmeldung überwinden. Eine erreichbare, ungepatchte PeopleSoft-Instanz genügt. Da PeopleSoft in vielen Organisationen Personal-, Finanz- und Studierendendaten verwaltet, ist die mögliche Schadenswirkung entsprechend hoch.

Die technische Kette erklärt, warum die Lücke so wirksam ist. Server-Side Request Forgery bringt den verwundbaren Server dazu, Anfragen an Ziele zu stellen, die der Angreifer selbst nicht erreichen kann, etwa interne Dienste hinter der Firewall. Kombiniert mit der fehlenden Authentifizierung wird daraus ein Hebel, der von außen bis zur Ausführung eigenen Codes auf dem Server reicht. Diese Verkettung von Einzelschwächen zu einem durchgehenden Angriffspfad macht aus einer fehlenden Authentifizierung eine Codeausführung aus der Ferne.

Wer angreift und wen es bisher traf

Mandiant ordnet die beobachtete Ausnutzung der Gruppe ShinyHunters zu, intern als UNC6240 geführt. Der Angriffszeitraum lag laut den Forschern zwischen dem 27. Mai und dem 9. Juni 2026, also bevor ein Patch breit verfügbar war. Das macht die Lücke zu einem Zero-Day im Wortsinn: ausgenutzt, bevor die Verteidiger reagieren konnten.

Im Fokus stand zunächst der Hochschulsektor. Universitäten betreiben PeopleSoft häufig für Verwaltung und Studierendenmanagement, was sie zu lohnenden Zielen macht. Die Angriffe mündeten in Ransomware, also Verschlüsselung und Erpressung. Was bei Hochschulen begann, lässt sich auf jede Organisation mit exponierter PeopleSoft-Instanz übertragen.

Warum die CISA-Frist auch für DACH zählt

Die verbindliche Frist für US-Bundesbehörden lief am 15. Juni ab, geregelt über die CISA-Direktive BOD 26-04. Trotzdem ist der Eintrag im Katalog für alle relevant. Er ist die offizielle Bestätigung, dass die Lücke aktiv ausgenutzt wurde. Aus einem theoretischen Risiko ist ein belegter Angriff geworden. Damit verschiebt sich die Risikobewertung: Ein ungepatchtes System gilt jetzt als wahrscheinliches Ziel, nicht als latentes Restrisiko.

Für deutsche Betreiber kommt die regulatorische Seite hinzu. Wer unter NIS2 fällt, muss Schwachstellenmanagement und Reaktionsfähigkeit ohnehin nachweisen. Eine öffentlich bekannte, aktiv ausgenutzte Lücke ungepatcht zu lassen, wäre im Ernstfall schwer zu erklären. Der CISA-Katalog ist damit auch außerhalb der USA eine brauchbare Priorisierungshilfe für das eigene Patch-Management.

Was Betreiber jetzt tun sollten

Der erste Schritt ist die Bestandsaufnahme: Läuft irgendwo PeopleSoft Enterprise PeopleTools und ist die Instanz aus dem Netz erreichbar? Der zweite Schritt ist das Einspielen des von Oracle bereitgestellten Sicherheitsupdates, mit Vorrang vor regulären Wartungszyklen. Wo ein sofortiger Patch nicht möglich ist, hilft es, die Erreichbarkeit der Anwendung einzuschränken und den Zugang hinter zusätzliche Kontrollen zu legen.

Der dritte Schritt ist die Annahme, dass es bereits passiert sein könnte. Angesichts der Ausnutzung seit Ende Mai gehört jede exponierte Instanz auf Kompromittierung geprüft, bevor nur gepatcht wird. Ein blindes Update überschreibt im Zweifel Spuren, ohne einen bereits eingenisteten Angreifer zu entfernen. Wie man Schwachstellen jenseits des reinen CVSS-Werts sinnvoll priorisiert, ordnet die Analyse zur Patch-Priorisierung im SOC ein.

Konkret heißt Kompromittierungsprüfung: Webserver- und Anwendungslogs auf ungewöhnliche Anfragen an die PeopleSoft-Komponente sichten, neu angelegte Konten und geänderte Berechtigungen kontrollieren, ausgehende Verbindungen auf unbekannte Ziele prüfen und nach abgelegten Web-Shells suchen. Wer hier fündig wird, behandelt den Fall als Incident und nicht als Routine-Update, inklusive sauberer Wiederherstellung aus geprüften Backups. Eine vorbereitete Backup- und Notfallstrategie, die im Ernstfall bereitsteht, entscheidet dann über die Ausfallzeit.

Häufige Fragen

Jede Frage ist verschlossen. Ein Tippen entriegelt die Antwort.

Welche Systeme sind von CVE-2026-35273 betroffen?

Oracle PeopleSoft Enterprise PeopleTools, nach übereinstimmenden Berichten die Versionen 8.61 und 8.62. Maßgeblich für den eigenen Bestand ist immer das offizielle Oracle-Advisory.

Warum ist die Lücke besonders kritisch?

Weil sie laut den Advisories ohne Anmeldung ausnutzbar ist und zur Codeausführung führt. Der CVSS-Wert von 9,8 spiegelt das wider. Eine erreichbare, ungepatchte Instanz reicht für einen Angriff.

Wer steckt hinter den Angriffen?

Mandiant ordnet die beobachtete Ausnutzung der Gruppe ShinyHunters zu, intern UNC6240. Der Angriffszeitraum lag zwischen dem 27. Mai und dem 9. Juni 2026, zunächst gegen den Hochschulsektor.

Gilt die CISA-Frist auch in Deutschland?

Formal verpflichtet die Frist nur US-Bundesbehörden. Der Katalogeintrag ist aber eine offizielle Bestätigung aktiver Ausnutzung und damit auch für DACH-Betreiber eine klare Priorisierungshilfe, gerade unter NIS2.

Reicht es, einfach zu patchen?

Patchen ist Pflicht, aber bei einer seit Ende Mai ausgenutzten Lücke nicht genug. Jede exponierte Instanz gehört auf Anzeichen einer Kompromittierung geprüft, sonst bleibt ein bereits eingenisteter Angreifer unentdeckt.

Lesetipps der Redaktion

LesetippBackup gegen Ransomware: 3-2-1-1-0 statt 3-2-1LesetippEdge-Gerät als Ransomware-Tor: Warum MFA am VPN nicht reichtLesetippAPI-Security: der blinde Fleck hinter jeder Integration

Mehr aus dem MBF Media Netzwerk

cloudmagazinCloud-Repatriation: Wann sich Rückholen rechnetMyBusinessFuture54,5 Prozent nutzen KI – und der Mittelstand hängt trotzdem hintenDigital ChiefsWenn die KI ihre eigenen Nachfolger baut