The Hacker News berichtete am 28. Oktober 2026, Mandiant und die Google Threat Intelligence Group (GTIG) hätten UNC6240, auch bekannt als ShinyHunters, die Ausnutzung von CVE-2026-35273 zwischen dem 27. Mai und dem 9. Juni 2026 zugeschrieben. Die Zero Day Initiative (ZDI) hatte einen Tag zuvor eine technische Analyse veröffentlicht: Sie beschreibt drei miteinander verknüpfte Schwachstellen in Oracle PeopleSoft, bei denen eine SSRF in PSIGW den Weg zu PSEMHUB öffnet und dort zwei alternative Wege zur Remote-Code-Ausführung (RCE) bestehen. SSRF steht für Server-Side Request Forgery, eine serverseitige Anfragefälschung.
Eine CVE fasst drei ZDI-Fehler zusammen
Oracle führt die Schwachstellenkette unter CVE-2026-35273. ZDI unterscheidet drei Fehler mit den internen Kennungen ZDI-CAN-31816, ZDI-CAN-31818 und ZDI-CAN-31817. Diese ZDI-CAN-Kennungen sind keine CVE-Nummern. ZDI erklärte, mit Oracle über separate CVE-Kennungen für die drei Fehler zu sprechen.
Wie eine SSRF PSEMHUB erreicht
ZDI verortet die SSRF im HttpTargetConnector des PeopleSoft Integration Gateway (PSIGW). Der Connector kann eine Ziel-URL und den weiterzuleitenden Anfrageinhalt übernehmen. PSEMHUB, das Environment Management Hub, vertraut laut ZDI in seiner standardmäßigen Liste erlaubter Hosts auf die Loopback-Adresse 127.0.0.1. Diese Adresse ermöglicht die Kommunikation mit lokalen Agenten. Über die SSRF kann eine Anfrage den Hub über diese als vertrauenswürdig behandelte Adresse erreichen.
Zwei alternative Wege zur Codeausführung
ZDI beschreibt zwei verschiedene Schwachstellen in PSEMHUB, über die sich nach dem SSRF-Zugriff Code ausführen lässt:
- Kontrolle über einen Dateipfad: ExecuteProcessActivityCommand akzeptiert vom Aufrufer bestimmte Dateiinhalte und einen absoluten Zielpfad. Laut ZDI kann darüber eine Web-Shell geschrieben werden.
- Unsichere XML-Verarbeitung: PSEMHUB liest beim Initialisieren von HubServlet XML-Dateien aus seinem Umgebungsdatenverzeichnis und verarbeitet sie mit Java XMLDecoder. Laut ZDI kann bei der Verarbeitung Code ausgeführt werden, bevor eine spätere Typumwandlung in den erwarteten Typ Environment fehlschlägt. Die Initialisierung erfolgt auch nach einem Neustart des Dienstes oder des Systems.
Die beiden PSEMHUB-Fehler sind alternative Ausführungspfade nach dem Zugang über die SSRF. Sie müssen nicht beide in einem Angriff auftreten.
Welche PeopleTools-Versionen Oracle nennt
Oracle führt PeopleSoft Enterprise PeopleTools 8.61 und 8.62 als betroffen auf. Für frühere Versionen erklärt Oracle, dass sie auf diese Schwachstellen nicht getestet wurden und wahrscheinlich ebenfalls betroffen sind. Der am 10. Juni 2026 veröffentlichte Oracle Security Alert zu CVE-2026-35273 bewertet das Risiko mit 9,8 nach CVSS 3.1. Oracle nennt einen Netzwerk-Angriffsvektor, geringe Komplexität, keine erforderlichen Berechtigungen und keine notwendige Benutzerinteraktion; die Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit bewertet das Unternehmen als hoch.
Oracle stellt Mitigationsmaßnahmen und Patches für die vom Alert betroffenen Produkte nur bereit, wenn sie unter Premier Support oder Extended Support stehen. Für frühere Versionen empfiehlt Oracle ein Upgrade auf unterstützte Versionen.
