Oracle PeopleSoft Enterprise PeopleTools: Mangelhafte Zugriffskontrolle in Business Interlink
Zusammenfassung
Die Oracle PeopleSoft Enterprise PeopleTools Versionen 8.61 bis 8.63 sind von einer Schwachstelle in der Zugriffskontrolle (CWE-284) in der Komponente Business Interlink betroffen. Ein nicht authentifizierter Angreifer mit Netzwerkzugriff via HTTP kann PeopleTools kompromittieren, wobei ein erfolgreicher Angriff zur vollständigen Übernahme der Plattform führen kann. Die Ausnutzung gilt als schwierig (hohe Angriffskomplexität). Der CVSS-3.1-Basiswert beträgt 8.1 (Hoch).
Betroffen
- Oracle PeopleSoft Enterprise PeopleTools 8.61 bis 8.63 (unterstützte Versionen)
- Komponente: Business Interlink
Behoben in
Unbekannt. Im Oracle Critical Patch Update vom Oktober 2026 den Patch für die eigene Version prüfen.
Umgehung
Unbekannt. Die Oracle-Warnung zu dieser CVE konnte zur Überprüfung nicht abgerufen werden.
Ausnutzung
- Keine Hinweise auf eine Ausnutzung in freier Wildbahn für diese CVE gefunden.
- Kein öffentlicher Proof-of-Concept gefunden.
- EPSS 0.00407 (geringe vorhergesagte Ausnutzungswahrscheinlichkeit).
- CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
Unsere Empfehlung
- PeopleTools-Installationen inventarisieren und prüfen, ob Version 8.61, 8.62 oder 8.63 eingesetzt wird.
- Sobald der passende Build bestätigt ist, den PeopleTools-Patch aus dem Oracle Critical Patch Update vom Oktober 2026 einspielen.
- Prüfen, ob Business Interlink aus dem Internet erreichbar ist, und die Komponente deaktivieren, falls sie nicht benötigt wird.
- Bei verzögertem Patch den Zugriff auf die Business-Interlink-Endpunkte einschränken und nach Test eine Web Application Firewall in Betracht ziehen.
- HTTP-Logs auf unerwartete Anfragen an Business-Interlink-URLs prüfen.
- Sicherstellen, dass auch das verwandte Business-Interlink-Problem CVE-2026-60821 gepatcht ist.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Oracle Security Alert: October 2026 Critical Patch Update www.oracle.com
- CVE record via vulners.com vulners.com
- Strix AI CVE-2026-101411 www.strix.ai
- Tenable: Oracle October 2026 Critical Patch Update www.tenable.com
- Waratek: Oracle October 2026 Critical Patch Update waratek.com
- Stack Watch: PeopleSoft Enterprise PeopleTools stack.watch
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 18:31.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.