Oracle heeft 16 beveiligingslekken gedicht in verschillende PeopleSoft‑producten, waaronder PeopleSoft Enterprise PeopleTools, PRTL Interaction Hub en CC Common Application Objects. Vier van die lekken zijn op afstand te misbruiken zónder inlog, via netwerktoegang. Succesvolle aanvallen kunnen leiden tot ongeautoriseerde inzage of wijziging van gegevens, verstoring van systemen en in sommige scenario’s volledige overname van getroffen componenten. De patches maken deel uit van Oracle’s Critical Security Patch Update van 15 september 2026. Geen van de kwetsbaarheden valt in de categorie “kritiek”; de scores zitten in “hoog”. (oracle.com)

Twee punten springen eruit:

• CVE‑2026‑83017 (CVSS 8,8) zit in de Report Distribution‑component van PeopleTools. Voor misbruik is een laaggeprivilegieerd account nodig. (oracle.com)
• CVE‑2026‑73954 (CVSS 8,1) bevindt zich in de Business Interlink‑component van PeopleTools en is op afstand zonder authenticatie via HTTP te misbruiken. Oracle kwalificeert de kwetsbaarheid als lastig te misbruiken (hoge complexiteit), maar bij succes zijn de gevolgen groot. (oracle.com)

Wat is geraakt?

• PeopleSoft Enterprise PeopleTools (versies 8.61 t/m 8.63)
• PeopleSoft Enterprise PRTL Interaction Hub (9.1)
• PeopleSoft Enterprise CC Common Application Objects (9.2)
  Deze versies en componenten staan expliciet genoemd in de risicomatrix van de september‑update. (oracle.com)

Context: dit jaar stond PeopleSoft al onder verhoogde aandacht. Op 10 juni 2026 bracht Oracle een afzonderlijke Security Alert uit voor CVE‑2026‑35273, een pre‑auth RCE in PeopleTools Updates Environment Management. Ook die kwetsbaarheid was op afstand zónder inlog te misbruiken en kreeg een CVSS‑score van 9,8. Het incident onderstreept hoe aantrekkelijk PeopleSoft‑omgevingen zijn voor aanvallers en waarom snel patchen loont. (oracle.com)

Ook Europese CERT’s signaleren de september‑ronde. CERT‑FR publiceerde op 16 september 2026 een advies dat rechtstreeks verwijst naar Oracle’s bulletin (cspusep2026) en de getroffen PeopleSoft‑onderdelen opsomt. (cert.ssi.gouv.fr)

Aanbevelingen voor beheerders

• Patch meteen. Raadpleeg de patchdocumentatie op My Oracle Support die aan de CSPU is gekoppeld en test eerst in acceptatie. Oracle raadt aan niet te wachten. (oracle.com)
• Beperk het aanvalsoppervlak. Zet PeopleSoft‑portals en beheerinterfaces achter VPN of IP‑allowlists. Publiceer Business Interlink‑endpoints niet direct op internet.
• Harden waar mogelijk. Schakel ongebruikte integraties uit, dwing sterke authenticatie af en log alle aanroepen naar Integration Broker, Report Distribution en Business Interlink.
• Monitor actief. Zoek in HTTP‑ en applicatielogs naar afwijkend verkeer richting de genoemde componenten. Stel alerting in op fouten/uitvoerfouten rond rapportdistributie en interlinks.
• Blijf bij. Houd de PeopleSoft‑images (PUM) en PeopleTools‑versies binnen support en volg nieuwe CPU/CSPU‑rondes op de voet. (oracle.com)

Waarom dit ertoe doet
PeopleSoft draait vaak kritieke processen zoals HR, finance en (in het onderwijs) studentenadministratie. Met vier lekken die zonder inlog op afstand te misbruiken zijn en meerdere met een hoge impactscore, is dit een patchronde die je niet wilt overslaan. (oracle.com)

---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ----
Opzoek naar de laatste updates uit onze securitylog?
Inhoud mede mogelijk gemaakt door OpenAI.