Oracle veröffentlicht Rekord-CPU mit 1.449 Patches und schließt Exploits von ShinyHunters in 300 PeopleSoft-Servern

Oracle hat am Dienstag das Critical Patch Update für Juli veröffentlicht, das 1.449 Patches umfasst, die 1.235 einzigartige CVEs in 32 Produktfamilien abdecken. Es ist das größte vierteljährliche CPU, das das Unternehmen je veröffentlicht hat, und enthält einen Punkt, der die Risikoberechnung für jeden Kunden, der weiterhin PeopleSoft betreibt, verändert: Die CVE-2026-35278, eine vorab authentifizierte RCE in PeopleTools mit einem CVSS von 9,8, ist dasselbe Problem, das die Gruppe ShinyHunters genutzt hat, um mehr als 300 Server in über 100 Organisationen zwischen dem 27. Mai und dem 9. Juni zu kompromittieren.

Der Fall PeopleSoft verdient eine detaillierte Analyse. ShinyHunters verband die CVE-2026-35278 mit der CVE-2026-35273, einer Privilegieneskalationsanfälligkeit, die Oracle bereits in einer Security Alert außerhalb des Zyklus am 10. Juni behandelt hatte. Die Kombination ermöglicht die Ausführung von Remote-Code als Root-Benutzer auf dem Anwendungsserver. Zu den bestätigten Opfern gehört das Moody Bible Institute, das 2,3 Millionen persönliche Datensätze exponiert hat, und die NAIC, eine Vereinigung von US-Versicherungsregulatoren, teilte in einer Erklärung mit, dass öffentliche Daten exfiltriert wurden. Universitäten, Seminare und staatliche Stellen in den USA und im Vereinigten Königreich dominierten die Liste, berichtet von Arctic Wolf und der Mandiant-Einheit von Google Cloud.

Was dieses CPU strukturell anders macht

Abgesehen von PeopleSoft ist die technische Hauptmeldung eine CVE mit CVSS von 9,9 im Oracle Database Server, die alle unterstützten Versionen von 19.3 bis 23.26.2 betrifft, einschließlich Autonomous Database. Es gibt keine öffentlichen Hinweise auf aktive Ausnutzung, aber die installierte Basis ist die kritischste im Oracle-Portfolio: Ericsson, JPMorgan, LATAM und die meisten Banken und Telekommunikationsunternehmen der Welt nutzen diese Linie in der Produktion. Oracle E-Business Suite erhielt 410 Patches, was 28,3 % des Gesamtvolumens ausmacht, den historischen Höchststand für das Produkt. Fusion Middleware, MySQL und GoldenGate summierten weitere Hunderte von Korrekturen, ein Zeichen dafür, dass der interne Zyklus bei Oracle die Offenlegungsgeschwindigkeit beschleunigt hat.

Von den insgesamt 18 % der Patches wurden als kritisch eingestuft, und 52,7 % als hochgradig, laut Tenable, was die Quote über dem Durchschnitt der letzten acht CPUs erhöht. Ben Smith, Chief Engineer bei Tenable, erklärte in einer Mitteilung, dass "die Risiken der schwerwiegendsten Mängel weiterhin in veralteten Produkten konzentriert sind, die die Kunden vor zwei Zyklen haben abschaffen sollen, aber nicht abschaffen konnten, weil die Migrationskosten hoch sind".

Für diejenigen, die PeopleSoft im kritischen Betrieb betreiben

Das Exploit-Fenster von ShinyHunters dauerte 14 Tage vor der ersten öffentlichen Warnung von Arctic Wolf und weitere 28 Tage vor dem offiziellen CPU. Wenn der Zeitplan sich im nächsten Zyklus wiederholt, werden Unternehmen, die das Patch in einem aggressiven Zeitrahmen nicht anwenden, weiterhin im Fokus bleiben. In den USA verlangt das Bildungsministerium, dass Einrichtungen, die durch Federal Student Aid finanziert werden, innerhalb von 72 Stunden nach Veröffentlichung des CPUs kritische RCE-Korrekturen anwenden, eine Frist, die in einem Memo von August 2025 formalisiert wurde. In Deutschland stuft das BSI nicht authentifizierte RCE in ERP als "Warnstufe Rot" ein und verpflichtet zur Mitteilung an die zuständige Behörde innerhalb von 24 Stunden. In Frankreich hält die ANSSI eine Frist von 5 Werktagen für OIVs ein, und die japanische NISC aktualisierte im Juni ihren eigenen Leitfaden zum Management von Schwachstellen, um zu verlangen, dass Patches innerhalb von 48 Stunden in der Vorproduktionsumgebung getestet werden, wenn der Anbieter eine aktive Ausnutzung bestätigt.

Ein interessanter Betrachtungspunkt liegt in der Überschneidung mit dem Outsourcing-Sektor. TCS, Infosys und Wipro betreiben PeopleSoft für einen großen Teil des amerikanischen Gesundheitssektors und für öffentliche Universitäten im Vereinigten Königreich und Australien. Ein typischer Managed Services-Vertrag gibt dem Integrator ein Zeitfenster von 30 Tagen, um kritische Patches anzuwenden, was direkt mit den neuen Anforderungen des Bildungsministeriums kollidiert. Wenn ein US-Kunde SLA von 72 Stunden verlangt, trägt der indische Dienstleister die Kosten für die Einhaltung, nicht der CIO.

Was in diesem CPU nicht enthalten ist

Oracle hat keinen Zeitrahmen für die Version angegeben, die das HTTP-Subsystem von PeopleTools, in dem die CVE-2026-35278 entsteht, umschreibt, sondern nur eine Minderung durch Patch angegeben. Es wurde auch nicht bestätigt, ob die Instanzen von Autonomous Database bereits gegen die CVE 9.9 des Database Servers aktualisiert wurden, womit selbstverwaltete Kunden in einem Zeitfenster exponiert werden, das Oracle historisch in 7 bis 14 Tagen anwendet. Und es gibt keine öffentliche Erwähnung, dass ShinyHunters begonnen hat, die PeopleSoft-Kette auszunutzen, bevor Oracle advisory formell veröffentlichte, eine Diskussion über "verantwortungsvolle Offenlegung", die Mandiant in dem Bericht von Juni angestoßen hat und auf die Oracle nicht in offiziellem Kanal geantwortet hat.