PeopleSoft-Null-Day-Einbrüche weiten sich aus, bevor der Patch kommt

Eine kritische PeopleSoft-Schwachstelle wird bereits in großem Umfang ausgenutzt

Ein ehemaliger Zero-Day in Oracles PeopleSoft-Software wird in realen Angriffen gegen eine breite Gruppe von Organisationen eingesetzt, wie Ars Technica unter Berufung auf Google Mandiant und Oracle berichtet. Die Schwachstelle CVE-2026-35273 hat einen Schweregrad von 9,8 von 10 und wird als serverseitige Request-Forgery-Schwachstelle beschrieben, die aus der Ferne ausnutzbar ist.

Der zeitliche Ablauf ist der alarmierendste Teil der Geschichte. Mandiant sagt, die ransomware-nahe Gruppe ShinyHunters habe die Schwachstelle seit dem 27. Mai ausgenutzt, also mehr als zwei Wochen bevor Oracle sie öffentlich machte. Oracle hatte zwar eine Übergangsminderung veröffentlicht, den Fehler zum Zeitpunkt des Berichts aber noch nicht vollständig behoben.

Wer betroffen ist

Mandiant sagte, die Angreifer hätten rund 300 Endpunkte bei etwa 100 Organisationen ins Visier genommen. Etwa 68 Prozent dieser Organisationen gehörten zum Hochschulsektor. Die University of Nottingham bestätigte, dass sie Opfer eines Hacks geworden sei, bei dem erhebliche Mengen an Studentendaten in die Hände eines Bedrohungsakteurs gelangten, nachdem ShinyHunters die Universität als Opfer bezeichnet und Gigabytes an angeblich gestohlenen Daten veröffentlicht hatte.

Google bestätigte außerdem, dass Opfer Erpressungsforderungen erhalten. Damit wechselt der Vorfall von einer theoretischen Gefährdung zu einer laufenden Druckkampagne, bei der kompromittierte Organisationen sowohl operative Risiken als auch Reputationsschäden tragen.

Warum dieser Fehler so gefährlich ist

Oracle und Mandiant bezeichnen das Problem als SSRF-Schwachstelle. Praktisch bedeutet das, dass Angreifer von einem verwundbaren Server aus Anfragen an interne Systeme senden können, die von der Zielorganisation genutzt werden. In Unternehmensumgebungen kann aus einem exponierten Dienst so ein Pfad zu breiterer Aufklärung und weiterem Zugriff werden.

Die Berichterstattung sagt, dass die Analyse eines Bash-Skripts, das auf einem Staging-Server zurückgelassen wurde, zeigte, dass die Angreifer Aufklärung über kompromittierte Organisationen betrieben. Dazu gehörte das Kartieren von PeopleSoft-Konfigurationen und das Einsehen von XML-Konfigurationen des Process Scheduler und von WebLogic-Servern. Diese Details sind wichtig, weil sie darauf hindeuten, dass die Angreifer nicht nur einen Nachweis des Zugriffs suchten, sondern die interne Struktur der Opferumgebung lernten.

Mandiant sagte außerdem, die Angreifer hätten eine ausgehende SSH-Verbindung zu einer externen IP-Adresse hergestellt, auf der ihre Staging-Infrastruktur gehostet wurde. Das passt zu einer Kampagne, die darauf ausgelegt ist, rasch von Zugriff zu Exfiltration überzugehen.

Warum der Hochschulsektor die Opferliste dominiert

Der Artikel sagt, dass etwa 68 Prozent der betroffenen Organisationen aus dem Hochschulbereich stammen. Die bereitgestellte Quelle erklärt nicht, warum dieser Sektor so stark vertreten ist, aber das Muster ist dennoch bemerkenswert. Universitäten betreiben oft große, dezentralisierte IT-Landschaften und verwalten erhebliche Mengen an persönlichen, finanziellen und forschungsbezogenen Daten, was sie zu attraktiven Zielen machen kann, wenn eine weit verbreitete Unternehmensplattform angreifbar ist.

Für Verteidiger ist nicht die Motivation entscheidend, sondern das Zeitfenster. Wenn die Ausnutzung am 27. Mai begann und die öffentliche Warnung mehr als zwei Wochen später kam, könnten viele Organisationen unbemerkt unter aktiver Kompromittierung gewesen sein.

Minderung ist nicht gleich Behebung

Dass Oracle eine Übergangsminderung veröffentlicht hat, ist wichtig, aber nicht dasselbe wie ein vollständiger Fix. Diese Unterscheidung sollte Incident-Response-Entscheidungen prägen. Organisationen mit exponierten PeopleSoft-Installationen müssen dies als möglichen Vorfall und nicht als gewöhnlichen Patch-Zyklus behandeln.

Die Kombination aus Erpressung, veröffentlichten Daten und Anzeichen von Hands-on-Aktivität verschärft die Lage. In solchen Situationen müssen Teams davon ausgehen, dass die Ausnutzung bereits stattgefunden haben könnte, und entsprechend untersuchen, insbesondere wenn ihre Umgebungen während des berichteten Angriffsfensters direkt aus dem Internet erreichbar waren.

Die breitere Lehre

Der PeopleSoft-Fall zeigt, wie schnell eine schwerwiegende Schwachstelle in Unternehmenssoftware zu einem Erpressungsfall werden kann, wenn Angreifer schon vor der Offenlegung aktiv sind. Er verdeutlicht auch ein anhaltendes Problem der Unternehmenssicherheit: Wenn manche Organisationen von einer kritischen Schwachstelle erfahren, können Angreifer in vergleichbaren Umgebungen bereits Tage oder Wochen Vorsprung haben.

Für die betroffenen Institutionen lautet die unmittelbare Frage: Eindämmung. Für den Rest des Marktes ist die Lehre schärfer: Eine mit 9,8 bewertete Schwachstelle in Kernsoftware ist nicht nur ein Patch-Thema, wenn aktive Ausnutzung, Datendiebstahl und Erpressung bereits laufen.

• CVE-2026-35273 ist eine aus der Ferne ausnutzbare PeopleSoft-SSRF-Schwachstelle mit dem Wert 9,8.
• Mandiant sagt, ShinyHunters habe sie ab dem 27. Mai ausgenutzt, bevor Oracle sie offenlegte.
• Berichten zufolge wurden rund 100 Organisationen und etwa 300 Endpunkte ins Visier genommen.
• Oracle veröffentlichte eine Übergangsminderung, ein vollständiger Patch lag zum Zeitpunkt des Berichts aber noch nicht vor.

Dieser Artikel basiert auf einem Bericht von Ars Technica. Den Originalartikel lesen.