Oracle PeopleSoft Enterprise SCM Strategic Sourcing: Rechteerweiterung über HTTP
Zusammenfassung
Oracle PeopleSoft Enterprise SCM Strategic Sourcing Version 9.2 enthält eine Schwachstelle, die einem Angreifer mit einem Konto mit niedrigen Rechten und Netzwerkzugriff über HTTP die Übernahme der Anwendung ermöglicht. Der CVSS-Wert beträgt 8.8, und die Auswirkungen betreffen Vertraulichkeit, Integrität und Verfügbarkeit. Der Angriff erfordert gültige Zugangsdaten mit niedrigen Rechten, weshalb exponierte Lieferanten- oder Partnerportale mit schwachen oder geteilten Konten das höchste Risiko tragen.
Betroffen
- Oracle PeopleSoft Enterprise SCM Strategic Sourcing 9.2
- Andere Versionen: in den geprüften Quellen nicht als betroffen aufgeführt
Behoben in
- Unbekannt. In den geprüften Quellen wurde kein Fix-Build und keine Patch-ID gefunden. Die Tabelle zu PeopleSoft im Oracle-CPU-Advisory vom Oktober 2026 und My Oracle Support prüfen.
Umgehung
- Unbekannt. Es wurde kein Workaround des Herstellers gefunden.
- Provisorische Massnahmen (nicht vom Hersteller): Zugriff auf die Strategic-Sourcing-Seiten auf bekannte Lieferantennetze oder VPN beschränken, Konten mit Portalzugang überprüfen und HTTP-Zugriffsprotokollierung für diese Komponenten aktivieren.
Ausnutzung
- CISA KEV: nicht aufgeführt.
- CISA SSVC: Exploitation none, automatable no, technical impact total.
- Kein öffentlicher Proof of Concept und keine Ausnutzung in freier Wildbahn gefunden.
Unsere Empfehlung
- Prüfen, ob PeopleSoft SCM Strategic Sourcing 9.2 im Einsatz ist und ob das Portal aus dem Internet erreichbar ist.
- Falls im Einsatz, den Oracle-CPU-Patch vom Oktober 2026 für PeopleSoft einspielen, sobald die Patch-ID für 9.2 bestätigt ist.
- Konten mit Portalzugriff überprüfen und reduzieren sowie HTTP-Zugriffsprotokollierung aktivieren.
- PeopleSoft allgemein aktuell halten, da andere PeopleSoft-Schwachstellen aktiv ausgenutzt werden.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Oracle Critical Patch Update Advisory October 2026 www.oracle.com
- OpenCVE CVE-2026-91478 app.opencve.io
- Strix CVE-2026-91478 www.strix.ai
- Waratek: Oracle October 2026 Critical Patch Update waratek.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 11:26.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.