Oracle PeopleSoft PeopleTools: Fehlende Authentifizierung in Business Interlink
Zusammenfassung
Oracle PeopleSoft Enterprise PeopleTools in den Versionen 8.61 bis 8.63 enthält in der Komponente Business Interlink eine Schwachstelle, die einem nicht authentifizierten Angreifer mit Netzwerkzugriff über HTTP ermöglicht, das Produkt zu kompromittieren. Laut Oracle kann ein erfolgreicher Angriff zur Übernahme von PeopleTools führen, mit hohen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit. Die Angriffskomplexität wird als hoch eingestuft, weshalb für eine Ausnutzung spezifische Bedingungen nötig sind. Oracle hat die Schwachstelle im Critical Patch Update vom Oktober 2026 behoben.
Betroffen
- Oracle PeopleSoft Enterprise PeopleTools 8.61 bis 8.63 (obere Grenze gemäss VulDB: bis 8.63)
Behoben in
- Behoben im Oracle Critical Patch Update vom Oktober 2026. Genauer Patch-Stand: Unbekannt. Oracle-Advisory prüfen.
Umgehung
- Keine Workaround-Lösung des Herstellers bekannt.
- Bis zur Installation des Patches: Netzwerkzugriff auf die PeopleSoft-Webebene einschränken und sicherstellen, dass die Komponente Business Interlink nicht über das Nötige hinaus exponiert ist.
Ausnutzung
- Aktive Ausnutzung in freier Wildbahn: nicht festgestellt für diese CVE.
- Öffentlicher Proof of Concept: nicht gefunden.
- Status im CISA KEV: nicht geprüft.
Unsere Empfehlung
- Prüfen, ob PeopleSoft PeopleTools im Einsatz ist und welche Versionen laufen.
- Das Oracle Critical Patch Update vom Oktober 2026 auf betroffenen PeopleTools-Instanzen ohne Verzug installieren, zuerst auf internetexponierten Systemen.
- Zugriff auf die Webebene einschränken und auf ungewöhnliche HTTP-Aktivität gegen PeopleSoft überwachen.
- Oracle-Advisory auf den genauen Patch-Stand prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Oracle Critical Patch Update October 2026 www.oracle.com
- NVD CVE-2026-101390 vulners.com
- VulDB 423099 vuldb.com
- Vulners CVE data CVE-2026-101390 vulners.com
- Tenable: Oracle October 2026 CPU www.tenable.com
- PeopleTools overview en.wikipedia.org
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 18:32.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.