Die PeopleSoft Sicherheitslücke CVE-2026-35273 sorgt seit Wochen für Alarm in IT-Abteilungen. Die Erpressergruppe ShinyHunters nutzt die Schwachstelle aktiv aus, um in Hochschulsysteme einzudringen. Betroffen ist Oracles Enterprise-Software PeopleSoft PeopleTools – ein System, das viele Universitäten und Behörden für Verwaltung und Personalwesen einsetzen.
Was steckt hinter der PeopleSoft Sicherheitslücke?
CVE-2026-35273 betrifft die Updates-Environment-Management-Komponente von PeopleTools, genauer den Environment Management Hub (PSEMHUB). Die Lücke erlaubt Remote Code Execution ganz ohne Anmeldung. Angreifer benötigen lediglich Netzwerkzugriff per HTTP, um die Kontrolle über den Server zu übernehmen. Mit einem CVSS-Wert von 9,8 zählt die Schwachstelle zu den kritischsten des Jahres. Betroffen sind die PeopleTools-Versionen 8.61 und 8.62.
Klartext ins Postfach
KI, Security & Crypto – die wichtigsten Analysen, kein Spam. Jederzeit abbestellbar.
ShinyHunters greift gezielt Hochschulen an
Google-Tochter Mandiant beobachtete die Angriffe bereits zwischen 27. Mai und 9. Juni – also bevor Oracle am 10. Juni überhaupt ein Sicherheitsupdate veröffentlichte. Die Lücke war damit über Wochen ein echter Zero-Day. Mandiant identifizierte mehr als 100 betroffene Organisationen. Rund 68 Prozent davon waren Hochschulen, vor allem in den USA.
Die Angreifer, von Mandiant als UNC6240 verfolgt, kommunizierten mit einem Command-and-Control-Server unter der Domain azurenetfiles.net. Über SSH verbreitete sich ein Skript weiter, indem es hinterlegte Zugangsdaten gegen interne Hosts aus der /etc/hosts-Datei ausprobierte. Anschließend hinterließen die Täter eine Erpressernachricht direkt in den PeopleSoft-Verzeichnissen.
So geht ShinyHunters vor
ShinyHunters ist bekannt für Datendiebstahl statt klassischer Verschlüsselung. Die Gruppe stiehlt sensible Informationen und droht anschließend mit Veröffentlichung, falls kein Lösegeld gezahlt wird. Auch die National Association of Insurance Commissioners (NAIC) meldete gestohlene öffentliche Daten im Zuge der Kampagne.
Was Admins jetzt tun sollten
- Sofort auf die von Oracle bereitgestellten Patches aktualisieren.
- PeopleSoft-Systeme auf die Markerdatei README-IF-YOU-SEE-THIS-YOUVE-BEEN-HACKED.TXT prüfen.
- Zugriff auf PSEMHUB auf notwendige IP-Bereiche beschränken.
- Logs auf Verbindungen zu azurenetfiles.net kontrollieren.
Wer Datenverlust durch Erpressung vorbeugen will, sollte zusätzlich auf verschlüsselte Backups setzen. Ein verschlüsselter externer Datenträger hält wichtige Sicherungen selbst dann geschützt, wenn Angreifer bereits im Netzwerk sind.
Fazit
Die PeopleSoft Sicherheitslücke zeigt erneut, wie schnell aus einem unentdeckten Fehler eine große Erpressungswelle wird. Ähnlich lief es zuletzt bei der SharePoint-Sicherheitslücke CVE-2026-45659, die ebenfalls vor Veröffentlichung eines Patches aktiv ausgenutzt wurde. Wer PeopleSoft betreibt, sollte die Systeme jetzt umgehend prüfen und patchen.
Quellen:
- The Hacker News: ShinyHunters Exploits Oracle PeopleSoft Zero-Day
- Google Cloud Blog: ShinyHunters Targets Education Sector
- BleepingComputer: NAIC says public data stolen
Diese Analysen als Newsletter
Ein Mal pro Woche Klartext zu KI, Security & Crypto – direkt in dein Postfach.
Jetzt anmelden