CVSS 9.8 in Oracle PeopleSoft: ShinyHunters hatte zwei Wochen Zugang zu 100+ Organisationen

Mehr als 100 Organisationen, die Oracle PeopleSoft betreiben, stellten fest, dass sie sich bereits in ShinyHunters‘ Erpressungsnetzwerk befanden, bevor sie eine Benachrichtigung erhielten. Die Schwachstelle, die diese Kampagne ermöglichte – CVE-2026-35273, bewertet mit 9,8 von 10 in der Schwere – erfordert keine Authentifizierung, keine Benutzerinteraktion und lediglich Netzwerkzugriff über HTTP, um eine vollständige Remote-Codeausführung auf einem exponierten Server zu erzielen.

Die Sicherheitslücke befindet sich in der PeopleTools-Updates-Umgebungskomponente von PeopleSoft, einem Modul, das in Personal-, Studenteninformations- und Finanzmanagement-Installationen üblich ist, auf die Universitäten und Unternehmen angewiesen sind. Angreifer verketten es mit älteren bekannten Schwachstellen in einer sogenannten Gadget-Chain, extrahieren Anmeldeinformationen aus Konfigurationsdateien und kartieren dann verbundene Anwendungs-, Web- und Batch-Ebenen in der gesamten Infrastruktur jedes Opfers. ShinyHunters arbeitete sich durch mehr als 300 Serverinstanzen in den betroffenen Organisationen.

ShinyHunters agiert nach einem Daten-Diebstahl-und-Erpressungsmodell, nicht nach Verschlüsselung. Sie exfiltrieren Datensätze, listen die Daten auf einem Erpressungsportal auf und veröffentlichen gestaffelte Lecks, um Druck auf die Opfer auszuüben, Zahlungen zu leisten. Kompromittierte Systeme hinterließen eine Datei namens README-IF-YOU-SEE-THIS-YOUVE-BEEN-HACKED.TXT. Mandiant identifizierte das Ausmaß der Kampagne und benachrichtigte betroffene Organisationen; Arctic Wolf veröffentlichte eine detaillierte forensische Analyse der Werkzeuge und lateralen Bewegungsmuster der Gruppe.

Bildungseinrichtungen machten 68 Prozent der Auswirkungen aus – eine vorhersehbare Folge, da Universitäten PeopleSoft als Rückgrat sowohl für Personal- als auch für Studenteninformationssysteme in derselben Bereitstellung nutzen. Die University of Nottingham bestätigte einen Datenverstoß, bei dem ShinyHunters mehr als 40 Gigabyte Daten veröffentlichte, die fast 500.000 aktuelle und ehemalige Studierende betrafen. Die National Association of Insurance Commissioners meldete 3,1 Terabyte gestohlener Daten. Zu den genannten Unternehmensopfern gehören Nissan, dessen Mitarbeiterdaten aus den USA, Kanada, Mexiko und Brasilien offengelegt wurden, sowie Kubota North America und eine Aflac Japan-Tochtergesellschaft.

Die im Rahmen der Kampagne extrahierten Daten umfassen die sensibelsten Kategorien, die PeopleSoft verwaltet: Namen, Kontaktdaten, Bankkontoinformationen, Steuerunterlagen, staatliche Ausweisnummern sowie Aufzeichnungen über Angehörige und Begünstigte. Für Universitäten erstreckt sich dies auf Finanzhilfeunterlagen und Studentenausweise. Die Kombination macht PeopleSoft zu einem lohnenden Ziel – eine einzelne kompromittierte Installation enthält in der Regel das vollständige Finanzprofil der Belegschaft und der Studentenschaft einer gesamten Einrichtung.

Das Ausnutzungsfenster erstreckte sich vom 27. Mai bis zum 9. Juni. Oracle gab am 10. Juni eine außerplanmäßige Notfallwarnung heraus und schloss damit den aktiven Angriffsvektor. Der endgültige Fix kam am 21. Juli im Rahmen des vierteljährlichen Critical Patch Update von Oracle – einem der größten in der Unternehmensgeschichte, das 1.455 neu offengelegte Schwachstellen adressiert, darunter zehn mit CVSS 10.0. Organisationen, die nur die Juni-Notfallwarnung angewendet haben, sollten überprüfen, ob das Juli-CPU installiert ist; der außerplanmäßige Patch schloss den von ShinyHunters ausgenutzten Vektor, behob jedoch nicht die gesamte Schwachstellenkette.

Oracle empfiehlt, sofort das Juli-CPU anzuwenden, den Netzwerkzugriff auf PeopleSoft-Instanzen vorübergehend einzuschränken und WAF-Regeln zu implementieren, die die Updates-Umgebungskomponente an der Netzwerkgrenze deaktivieren. Für Einzelpersonen, die mit betroffenen Organisationen verbunden sind – also jeder, dessen Universität, Versicherung oder Arbeitgeber PeopleSoft für Personal, Gehaltsabrechnung oder Studentenverwaltung einsetzt – bedeutet das gestaffelte Veröffentlichungsmodell von ShinyHunters, dass Daten, die noch nicht öffentlich aufgetaucht sind, in den kommenden Wochen auf Leak-Portalen auftauchen könnten. Die Überprüfung von Kreditberichten und die Überwachung auf verdächtige Nutzung von Regierungsausweisen sind die praktischen kurzfristigen Schritte.

Schlagwörter: Cybersicherheit, CVE-2026-35273, Datenleck, Oracle, PeopleSoft, ShinyHunters