Oracle PeopleSoft PeopleTools: Privilege Escalation im Test Framework
Zusammenfassung
Oracle PeopleSoft Enterprise PeopleTools in den Versionen 8.61 bis 8.63 enthält eine Schwachstelle in der Komponente Test Framework. Ein Angreifer mit niedrigen Berechtigungen und Netzwerkzugriff via HTTP kann mit Mithilfe eines Benutzers unautorisiert kritische Daten erstellen, löschen oder verändern sowie auf Daten zugreifen, die über PeopleTools erreichbar sind, mit Auswirkungen über die verwundbare Komponente hinaus. Der CVSS-Basiswert beträgt 8.7 (hoch).
Betroffen
- Oracle PeopleSoft Enterprise PeopleTools 8.61 bis 8.63 (CNA-Eintrag: 8.61 bis kleiner oder gleich 8.63)
- Komponente: Test Framework
Behoben in
Unbekannt. Prüfen Sie das Patch Availability Document für Ihr Release in My Oracle Support (Zusammenfassung: MOS Doc ID CPU289, Oracle CPU vom Oktober 2026).
Umgehung
- Keine Test-Framework-spezifische Massnahme bekannt.
- HTTP-Zugriff auf die PeopleSoft Internet Architecture (PIA) nach Möglichkeit aus dem Internet einschränken.
- Test Framework deaktivieren oder entfernen, falls es nicht benötigt wird, nachdem Oracle die Unterstützung dieser Massnahme bestätigt hat.
- Unnötige Benutzerberechtigungen bis zur Installation des Patches entfernen.
Ausnutzung
- Kein öffentlicher Proof of Concept bekannt.
- Keine bestätigte Ausnutzung in freier Wildbahn gefunden.
- CISA-SSVC-Bewertung: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
Unsere Empfehlung
- Prüfen Sie, ob PeopleSoft PeopleTools 8.61 bis 8.63 im Einsatz ist und ob das Test Framework installiert und erreichbar ist.
- Spielen Sie den Oracle CPU-Patch vom Oktober 2026 für Ihr Release prioritär ein, inklusive des gesamten PeopleTools-Stacks.
- Schränken Sie den HTTP-Zugriff auf PIA ein und überprüfen Sie die Benutzerberechtigungen.
- Überwachen Sie die Logs auf ungewöhnliche Zugriffe auf PeopleSoft und das Test Framework.
- Falls Sie PeopleSoft nicht betreiben, ist keine Massnahme nötig.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Oracle Security Alert CPU October 2026 www.oracle.com
- NVD record (mirror) vulners.com
- CNA/cvelist record (mirror) vulners.com
- Positive Technologies PT-2026-119119 vulners.com
- VulDB 423120 vuldb.com
- Oracle blog: October 2026 Critical Patch Update released blogs.oracle.com
- SecurityWeek: Oracle October 2026 CPU www.securityweek.com
- Tenable: Oracle October 2026 CPU www.tenable.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 01:22.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.