PeopleSoft ist eine integrierte ERP-Software-Suite, die in großen Organisationen für zentrale Geschäftsprozesse eingesetzt wird, darunter Personalwesen, Lohnabrechnung, Finanzen, Lieferketten und Campus-Betrieb. Vor diesem Hintergrund hat der neue Oracle-Hinweis besonderes Gewicht: CVE-2026-35273 wird vom Hersteller als kritische Schwachstelle eingestuft und betrifft PeopleSoft Enterprise PeopleTools 8.61 und 8.62. Oracle weist außerdem darauf hin, dass auch Nutzer von PeopleSoft Enterprise Applications betroffen sein könnten.
Auffällig ist, dass Oracle offenbar nur Gegenmaßnahmen und keinen vollständigen Patch veröffentlicht hat. Das Unternehmen äußert sich in der öffentlichen Warnung nicht dazu, ob die Schwachstelle bereits aktiv ausgenutzt wird. Wörtlich erklärt Oracle, die Umsetzung der empfohlenen Gegenmaßnahmen sei „eine hoch priorisierte Maßnahme zur Risikoreduzierung“, und man empfehle „dringend sofortige Maßnahmen“, um die identifizierte Gefährdung zu adressieren.
Die Warnung erscheint zeitgleich mit Berichten über Angriffe auf PeopleSoft-Installationen. Bleeping Computer und TechCrunch berichteten unter Berufung auf Hacker, die nach eigenen Angaben mit der Gruppe ShinyHunters verbunden sind, dass 300 PeopleSoft-Instanzen von mehr als 100 Organisationen angegriffen worden seien. Nach Angaben dieser Angreifer wurden ältere Schwachstellen mit Zero-Day-Lücken verkettet, um Zugriff auf Daten in den angegriffenen PeopleSoft-Umgebungen zu erlangen.
Dem Bericht zufolge scheint ein Forscher die Angriffe bestätigt zu haben. Zudem warnte Mandiant-CTO Charles Carmakal vor einer Zero-Day-Ausnutzung. Oracle selbst hat diesen Zusammenhang bislang nicht bestätigt. SecurityWeek fragte beim Unternehmen nach einer Stellungnahme, erhielt bis zum Zeitpunkt der Veröffentlichung jedoch keine Antwort.
ShinyHunters ist bereits durch Datendiebstahl-Kampagnen aufgefallen. Im vorliegenden Fall verweist der Bericht darauf, dass die Gruppe Software angreift, die bei großen Unternehmen weit verbreitet ist. Zuvor hatten Cyberkriminelle mit Verbindungen zu ShinyHunters bereits Kunden von Salesforce in einer groß angelegten Kampagne zum Datendiebstahl ins Visier genommen.
Besonders stark betroffen war laut Bleeping Computer der Bildungssektor. Als eines der Opfer wird die University of Nottingham genannt. Die Universität hat bestätigt, dass sie von einem erheblichen Datenleck betroffen war.
Dass Oracle in öffentlichen Dokumenten keine aktive Ausnutzung erwähnt, ist laut dem Bericht nicht ungewöhnlich. Die aktuelle Meldung folgt zudem kurz auf eine Warnung der US-Behörde CISA vor einer Oracle-WebLogic-Schwachstelle aus dem Jahr 2024, die bereits aktiv ausgenutzt wird.