Oracle PeopleSoft PeopleTools: Unauthentifizierter Angriff über HTTP im Report Distribution
Zusammenfassung
Eine Schwachstelle in der Komponente Report Distribution von Oracle PeopleSoft Enterprise PeopleTools, Versionen 8.61 bis 8.63, kann über das Netzwerk per HTTP ohne Authentifizierung ausgenutzt werden. Für einen erfolgreichen Angriff ist eine Interaktion durch einen anderen Benutzer erforderlich. Ein Angreifer könnte kritische Daten verändern oder löschen sowie einen Hänger oder wiederholbaren Absturz (Denial of Service) von PeopleTools auslösen, mit einem CVSS-3.1-Basiswert von 8.1. Gemäss Vektor des CNA ist die Vertraulichkeit nicht betroffen.
Betroffen
- Oracle PeopleSoft Enterprise PeopleTools 8.61 bis 8.63 (unterstützte Versionen)
Behoben in
Unbekannt. Prüfen Sie das Advisory von Oracles Critical Patch Update vom Oktober 2026 auf den PeopleTools-Patch für Ihre Version.
Umgehung
Keine vom Hersteller dokumentierte Umgehungslösung bekannt. Verlassen Sie sich nicht auf eine Web Application Firewall anstelle eines Patches.
Ausnutzung
Keine bestätigte Ausnutzung dieser spezifischen CVE gefunden. Die NVD-Analyse ist noch ausstehend. Der Status im CISA-KEV-Katalog und öffentlich verfügbarer Proof-of-Concept-Code sind unbekannt.
Unsere Empfehlung
- Spielen Sie das Oracle Critical Patch Update vom Oktober 2026 für PeopleTools so rasch wie möglich ein.
- Beschränken Sie den Zugriff auf PeopleSoft-Webendpunkte bis zur Behebung auf die benötigten Benutzer und Netzwerke und setzen Sie diese nicht direkt dem Internet aus.
- Prüfen Sie, ob PeopleSoft im Einsatz ist und von extern erreichbar ist.
- Prüfen Sie Protokolle auf Hinweise auf eine frühere Kompromittierung.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Oracle Security Alert October 2026 (CPU) www.oracle.com
- NVD/CVE record summary (vulners) vulners.com
- Strix CVE entry CVE-2026-101427 www.strix.ai
- Waratek: Oracle October 2026 Critical Patch Update waratek.com
- HivePro: Oracle October 2026 Critical Patch Update www.hivepro.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 18:30.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.