Am 21. Juli 2026 hat Oracle eines seiner umfangreichsten Critical Patch Updates veröffentlicht. Im Zentrum steht eine Oracle PeopleSoft Sicherheitslücke, die bereits seit Wochen aktiv ausgenutzt wird. Die Schwachstelle CVE-2026-35278 erlaubt Remote-Code-Ausführung ohne jede Anmeldung – und sie steckt hinter mehr als hundert bestätigten Einbrüchen.
Was hinter der Oracle PeopleSoft Sicherheitslücke steckt
CVE-2026-35278 ist eine Pre-Auth-RCE-Lücke in Oracle PeopleSoft PeopleTools und mit einem CVSS-Wert von 9,8 als kritisch eingestuft. Angreifbar ist der sogenannte Environment Management Hub, eine Verwaltungsschnittstelle für die Überwachung der PeopleSoft-Knoten. Diese Komponente nimmt HTTP-Anfragen über das Netzwerk entgegen, ohne Zugangsdaten zu verlangen. Wer den Endpunkt erreicht, kann Schadcode direkt auf dem Anwendungsserver ausführen.
Klartext ins Postfach
KI, Security & Crypto – die wichtigsten Analysen, kein Spam. Jederzeit abbestellbar.
Besonders brisant: Die Lücke lässt sich mit CVE-2026-35273 verketten. Diese zweite Schwachstelle hatte Oracle bereits im Juni per außerplanmäßigem Sicherheitsalarm behandelt. Erst die Kombination beider Fehler ergibt die vollständige Angriffskette bis zur Code-Ausführung.
Aktive Ausnutzung durch ShinyHunters
Sicherheitsforscher ordnen die Angriffe der Gruppe ShinyHunters zu. Sie nutzt die PeopleSoft-Kette seit rund sechs Wochen produktiv aus – also lange bevor der vollständige Patch verfügbar war. Deshalb ist jede über das Internet erreichbare, ungepatchte PeopleSoft-Instanz akut gefährdet. Ähnlich wie bei der kürzlich gemeldeten ServiceNow-Lücke CVE-2026-6875 zeigt sich hier ein Muster: Angreifer zielen gezielt auf zentrale Enterprise-Plattformen, weil ein einziger Server oft den Weg ins gesamte Netzwerk öffnet.
Das Juli-CPU von Oracle im Überblick
Das Critical Patch Update für Juli 2026 liefert den finalen Patch für CVE-2026-35278 und übernimmt zugleich die Korrektur für CVE-2026-35273. Neben PeopleSoft betrifft die Sammelaktualisierung weitere Produkte, darunter WebLogic Server, Identity Manager und WebCenter. Mehrere Schwachstellen erreichen ebenfalls die kritische Bewertungsstufe.
- Sofort patchen: Administratoren sollten das Juli-CPU umgehend einspielen, vor allem auf internetseitig erreichbaren PeopleSoft-Systemen.
- Kompromittierung prüfen: Da die Lücke seit Wochen ausgenutzt wird, reicht Patchen allein nicht. Prüfen Sie Logs und Prozesse auf Spuren eines Einbruchs.
- Angriffsfläche verkleinern: Der Environment Management Hub gehört nicht ungeschützt ins offene Internet.
Einordnung
Die Oracle PeopleSoft Sicherheitslücke ist ein Lehrstück über das Zeitfenster zwischen erster Ausnutzung und verfügbarem Patch. Wer PeopleSoft betreibt, sollte davon ausgehen, bereits im Visier gewesen zu sein, und die Systeme entsprechend gründlich untersuchen. Ein Patch schließt die Tür – er sagt aber nichts darüber, wer vorher schon durchgegangen ist.
Quellen
- Oracle Critical Patch Update Advisory – July 2026
- Oracle Security Alert Advisory – CVE-2026-35273
- TechTimes: PeopleSoft Exploit Behind 100+ Breaches Patched in Oracle’s Record July CPU (21.07.2026)
Diese Analysen als Newsletter
Ein Mal pro Woche Klartext zu KI, Security & Crypto – direkt in dein Postfach.
Jetzt anmelden