Cybersecurity: Wie eine Erpressergruppe reihenweise Peoplesoft-Systeme abräumt
Anfang Juni hat Oracle außerplanmäßig eine kritische Schwachstelle in Peoplesoft geschlossen, geführt als CVE-2026-35273. Sie trägt einen CVSS-Wert von 9,8, wobei der CVSS das gängige Bewertungssystem für Schwachstellen auf einer Skala bis 10 ist. Die Lücke sitzt in einer Funktion, die ohne Anmeldung erreichbar ist. Über eine sogenannte Server-Side Request Forgery lässt sich darüber Code auf dem Server ausführen. Angreifer benötigen dafür keine gültigen Zugangsdaten. Betroffen sind die Peopletools-Versionen 8.61 und 8.62, das ist die technische Grundlage, auf der die Peoplesoft-Anwendungen für Personal, Finanzen und Gehälter laufen.
Das eigentlich Beunruhigende ist der Zeitverlauf. Die Erpressergruppe Shinyhunters, von den Sicherheitsfirmen Mandiant und Google unter der Kennung UNC6240 geführt, nutzte die Lücke schon zwischen dem 27. Mai und dem 9. Juni aus, also rund zwei Wochen, bevor Oracle überhaupt einen Patch hatte. Es war damit ein Zero-Day, eine Lücke, die angegriffen wurde, bevor der Hersteller sie kannte. Die US-Cybersicherheitsbehörde Cisa nahm sie am 12. Juni in den Katalog der aktiv ausgenutzten Schwachstellen auf.