Oracle heeft beveiligingslekken gedicht in PeopleSoft Enterprise PeopleTools en diverse PeopleSoft-modules. Het gaat onder meer om Integration Broker, Data Mover, Configuration Manager en componenten binnen Finance, zoals FIN Common Objects en Lease Administration, plus CC Common Application Objects. De kwetsbaarheden raken met name omgevingen in de PeopleTools 8.61–8.62‑lijn en PeopleSoft‑applicaties 9.1–9.2. Aanvallen verlopen vaak via HTTP of Oracle Net en kunnen — afhankelijk van het specifieke lek — zonder inlog of met lage privileges leiden tot het creëren, aanpassen of verwijderen van kritieke data, of zelfs tot volledige overname van het systeem. Sommige issues vragen gebruikersinteractie, andere niet. De impact raakt de klassieke CIA‑trias: vertrouwelijkheid, integriteit en beschikbaarheid. De CVSS‑scores lopen uiteen van middenmoot tot kritiek, met pieken tot 9.8. (oracle.com)

Wat dit extra urgent maakt: op 10 juni 2026 publiceerde Oracle een spoedbeveiligingsmelding voor CVE‑2026‑35273, een kritiek (CVSS 9.8) lek in de Updates Environment Management‑component van PeopleTools. Het is op afstand en zonder authenticatie te misbruiken en maakt RCE mogelijk. NVD en CISA markeren het lek als actief misbruikt. (oracle.com)

Volgens onderzoek van Google/Mandiant is CVE‑2026‑35273 in de praktijk gebruikt door de afpersgroep ShinyHunters (UNC6240). Aanvallen vonden plaats tussen 27 mei en 9 juni 2026, vooral op hoger‑onderwijsinstellingen. Dit bevestigt dat internet‑exposed PeopleSoft‑omgevingen een aantrekkelijk doelwit zijn. (cloud.google.com)

Los van het spoedalert bracht Oracle in juli 2026 de reguliere Critical Patch Update (CPU) uit met extra fixes voor PeopleTools (bijvoorbeeld PIA Core Technology en OpenSearch Dashboards) en voor diverse PeopleSoft‑applicaties (waaronder FIN‑modules). In die matrix staan meerdere issues die op afstand en zonder authenticatie te misbruiken zijn; er zijn ook lekken met lagere scores (rond 4.4–7.x) die toch serieuze schade kunnen veroorzaken. In april 2026 kregen PeopleTools 8.61–8.62 bovendien al meerdere patches, onder andere voor Portal/Fluid‑core onderdelen. (oracle.com)

Relevantie voor Nederland: het NCSC publiceerde op 17 juni 2026 een advies over PeopleTools 8.61 en 8.62. Daarin staat dat aanvallers via HTTP(S) authenticatiecontroles kunnen omzeilen en — afhankelijk van rechten — tot datamanipulatie of volledige systeemovername kunnen komen. Het advies verwijst naar Oracle’s update‑documentatie en benadrukt snelle patching. (advisories.ncsc.nl)

Wat betekent dit voor jouw PeopleSoft‑landschap?

• Patch nu. Implementeer het Security Alert‑patch voor CVE‑2026‑35273 en de meest recente CPU’s (juli 2026) op alle PeopleTools 8.61–8.62‑omgevingen en bijbehorende applicatiemodules. (oracle.com)
• Minimaliseer internet‑exposure. Publiceer alleen wat strikt nodig is, en scherm beheer‑endpoints af. Controleer specifiek of het EM‑hub‑pad niet publiek bereikbaar is. (oracle.com)
• Onderzoek sporen van misbruik. Doorzoek web‑ en applicatielogs rond 27 mei–9 juni 2026 op verdachte requests, nieuwe accounts, ongeplande jobs of onverwachte integratie‑calls. (cloud.google.com)
• Versterk configuraties. Dwing sterke authenticatie en least‑privilege af voor integratie‑koppelingen en beheertools; zet ongebruikte services uit. Meerdere issues vragen UI‑interactie, dus alert op phishing/social engineering in combinatie met PeopleSoft‑sessies. (nvd.nist.gov)
• Plan de stap naar PeopleTools 8.63. Deze versie ging 30 juli 2026 GA en is het nieuwe fundament voor patches en hardening. Upgraden verkleint het aanvalsoppervlak en houdt je binnen de supportrails. (docs.oracle.com)

Kort gezegd: Oracle heeft de gaten gedicht, maar de dreiging is reëel en actueel. Zorg dat je PeopleTools en PeopleSoft‑images up‑to‑date zijn, beperk je attack surface en controleer je logs. Daarmee voorkom je dat een relatief eenvoudig te misbruiken lek uitgroeit tot een compleet incident. (oracle.com)

---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ----
Opzoek naar de laatste updates uit onze securitylog?
Inhoud mede mogelijk gemaakt door OpenAI.