Die Aufschlüsselung stammt von Bobby Gould von der ZDI. Nach Angaben der ZDI wurden drei voneinander getrennte Schwachstellen in zwei PeopleSoft-Komponenten gemeldet; man arbeite mit Oracle daran, jeder von ihnen eine eigene CVE-Nummer zuzuweisen. Bislang ist die eine Juni-Kennung die einzige vergebene.

CVE-2026-35273 betrifft PeopleSoft Enterprise PeopleTools in den Versionen 8.61 und 8.62, hat einen CVSS-Wert von 9,8 und erlaubt einem nicht authentifizierten Angreifer die Übernahme des Servers über das Netzwerk. Oracle veröffentlichte den Fix am 10. Juni in einer außerplanmäßigen Sicherheitswarnung. Die Lücke steht im Known-Exploited-Vulnerabilities-Katalog der CISA.

Angriffe liefen bereits vor dem Patch. Mandiant und die Google Threat Intelligence Group (GTIG) schreiben eine Kampagne der als UNC6240 geführten Gruppe zu, besser bekannt als ShinyHunters. Diese nutzte die Lücke zwischen dem 27. Mai und dem 9. Juni überwiegend gegen Universitäten aus — also vor Oracles Hinweis vom 10. Juni und damit die ganze Zeit als Zero-Day. In einer September-Nachbetrachtung berichtete Mandiant von einer erneuten, größeren Welle, die über den Bildungsbereich hinaus Technologie, IT-Dienstleister, Gesundheitswesen, Landwirtschaft, Verkehr und Behörden traf und weltweit Dutzende Systeme betraf.

Technisch sind zwei PeopleSoft-Komponenten beteiligt, die als getrennte Webanwendungen laufen. Das Integration Gateway (PSIGW) tauscht Nachrichten mit externen Systemen aus. Der Environment Management Hub (PSEMHUB) ist eine interne Verwaltungsschnittstelle, die nur vertrauenswürdigen Hosts antworten soll.

Der erste Fehler ist die SSRF in PSIGW: Ein Angreifer schickt eine Anfrage an dessen lauschenden Connector und kontrolliert sowohl die Zieladresse, an die weitergeleitet wird, als auch die vollständige Nutzlast, so die ZDI. Der Handler prüfe nicht, ob das Ziel legitim ist. Für sich genommen wäre das begrenzt — entscheidend ist, was damit erreichbar wird.

PSEMHUB entscheidet über Vertrauen anhand einer Liste in der Datei allowedhosts.properties. Diese Datei enthält ab Werk bereits die lokale Loopback-Adresse 127.0.0.1. Ein Angreifer richtet die SSRF also auf 127.0.0.1; die Anfrage erscheint, als käme sie vom Rechner selbst, und die Vertrauensprüfung greift nicht. Die eigentlich abgeschottete interne Schnittstelle ist damit von außen erreichbar.

Von dort beschrieb die ZDI zwei Wege zur Codeausführung. Der eine missbraucht ein PSEMHUB-Kommando, das Log-Einträge schreiben soll: Der Aufrufer bestimmt sowohl den Dateiinhalt als auch den genauen Pfad auf der Platte. So lässt sich eine Web-Shell in das Anwendungsverzeichnis schreiben und Befehle unter dem PeopleSoft-Dienstkonto ausführen. Der zweite Weg legt eine bösartige XML-Datei ab, die PSEMHUB beim nächsten Dienststart über Javas XMLDecoder einliest und dabei den Code des Angreifers ausführt — ganz ohne Web-Shell. Dieser Pfad bietet gängiger Erkennung deutlich weniger Angriffsfläche.

Im Zentrum steht laut ZDI eine Designentscheidung: Weil Loopback-Zugriff standardmäßig erlaubt ist, wird die Vertrauensprüfung wirkungslos, sobald die SSRF existiert. Das ist besonders für Verteidiger relevant, die sich durch eine Firewall-Regel abgedeckt wähnten.

In der September-Welle beobachtete Mandiant, wie ShinyHunters WAF-Regeln umging, die den Pfad /PSEMHUB/ blockierten: durch URL-Kodierung eines einzigen Zeichens, also Aufruf von /%50SEMHUB/. Viele WAF-Regeln greifen auf den Klartextpfad, während der PeopleSoft-Server ihn dekodiert und die Seite ausliefert.

Die Maßnahmen stammen von Oracle und Mandiant. Zentral ist das Einspielen des Fixes aus Oracles Sicherheitswarnung zu CVE-2026-35273 und der Verbleib auf einer unterstützten PeopleTools-Version. Mandiant stellt ausdrücklich klar, dass pfadbasiertes Blockieren per WAF kein Ersatz für das Patchen ist.

Wer nicht sofort patchen kann, soll laut Oracles Warnung in Mehrserver-Umgebungen den Environment-Management-Hub-Dienst deaktivieren oder in Einzelserver-Installationen die PSEMHUB-Anwendung entfernen. Das Einschränken dieser Verwaltungsendpunkte stört normale Nutzersitzungen nicht.

Für den Verdachtsfall empfiehlt Mandiant, jeden Host mit einer Web-Shell als kompromittiert zu behandeln, Beweise zu sichern und sämtliche von der PeopleSoft-Ebene aus erreichbaren Zugangsdaten zu wechseln. ShinyHunters entwendet Daten und fordert anschließend Zahlungen, betroffene Organisationen sollten sich also auf Erpressung einstellen.

Offen bleibt, ob das Einspielen des Patches einen bereits erlangten Zugang entfernt. Oracles Warnung äußert sich dazu nicht, und Mandiants Empfehlung, Zugangsdaten zu rotieren und nach Web-Shells zu suchen, geht davon aus, dass dies nicht der Fall ist. Der Patch schließt die Tür, setzt aber niemanden vor die Tür, der schon drin ist.