ANALYSEN
Oracle PeopleSoft, mehr als 100 Organisationen: das MOVEit-Muster trifft Universitäten
Zwischen dem 27. Mai und dem 9. Juni 2026 nutzte ShinyHunters eine unbekannte Schwachstelle in Oracle PeopleSoft gegen mehr als 100 Organisationen aus, zu zwei Dritteln Universitäten, und stahl personenbezogene, teils sensible Daten. Die Analyse: das MOVEit-Muster zum dritten Mal, der Kumul im Bildungssektor und Fragen für die Vertragsverlängerung.
Archiv: Rekonstruktion, geschrieben im November 2026
Thema des Monats Juni 2026 · von cybercoverinsurance
Am 10. Juni 2026 veröffentlichte Oracle einen außerplanmäßigen Sicherheitshinweis zu CVE-2026-35273, einer kritischen Schwachstelle in PeopleSoft, der Unternehmenssoftware, die viele Universitäten und große Organisationen für Personal, Studierende und Buchhaltung nutzen. Die Lücke erlaubte die Ausführung von Code aus der Ferne ohne Authentifizierung. Die Gruppe ShinyHunters nutzte sie bereits seit dem 27. Mai aus: Mandiant benachrichtigte mehr als 100 Organisationen, zu 68% Universitäten und Colleges, überwiegend in den USA.
Für Cyber-Risikoträger ist der Fall das dritte Beispiel desselben Musters in wenigen Jahren, nach MOVEit 2023 und Cleo im Dezember 2024: eine verbreitete Unternehmenssoftware, eine unbekannte Schwachstelle, eine Erpressergruppe, die Dutzende Kunden gleichzeitig trifft.
Was bekannt ist
Die Schwachstelle. CVE-2026-35273 hat einen Schweregrad von 9,8 von 10 und betrifft die Komponente Environment Management von PeopleSoft PeopleTools, Versionen 8.61 und 8.62; laut Oracle sind auch ältere, nicht mehr unterstützte Versionen wahrscheinlich verwundbar. Sie erfordert weder Authentifizierung noch Nutzerinteraktion. Oracle veröffentlichte Notfallmaßnahmen und kündigte den Patch in Kürze an (BleepingComputer).
Die Kampagne. Die schädliche Aktivität lief vom 27. Mai bis 9. Juni, vor dem Hinweis von Oracle. Mandiant und die Threat-Intelligence-Gruppe von Google schrieben sie ShinyHunters zu und rekonstruierten die Operation auch anhand offen gelassener Server der Angreifer. Die Angreifer komprimierten und entwendeten Daten und hinterließen Erpressernachrichten auf den betroffenen Systemen. Have I Been Pwned indexierte rund 455.000 eindeutige E-Mail-Adressen aus den veröffentlichten Daten, die Berichten zufolge Adressen, Telefonnummern, Passnummern sowie Angaben zu ethnischer Herkunft und Behinderungen enthalten. Die University of Nottingham gehört zu den ersten bestätigten Opfern (Security Affairs).
Das Ausmaß. ShinyHunters erklärte, Daten aus rund 300 Installationen bei mehr als 100 Organisationen entwendet zu haben, durch eine Kombination alter Lücken mit der neuen Schwachstelle. In den Netzen installierten die Angreifer als Microsoft-Azure-Verkehr getarnte Fernwartungswerkzeuge und bewegten sich mit gestohlenen oder im Code hinterlegten Zugangsdaten weiter (BleepingComputer).
Was nicht bekannt ist. Die endgültige Zahl der Organisationen mit entwendeten Daten, wie viele gezahlt haben und die Gesamtkosten der Kampagne wurden nicht veröffentlicht. ShinyHunters sagte, man habe gerade erst begonnen, die Opfer zu kontaktieren.
Das MOVEit-Muster, zum dritten Mal
Eine Software, viele Opfer, ein Datum. Wie bei MOVEit und Cleo traf die Kampagne innerhalb weniger Tage Dutzende Kunden derselben Software, bevor es einen Patch gab. Für ein Portfolio ist das ein Kumulereignis mit genauem Datum und einer einzigen Ursache.
Unternehmenssoftware als Ziel. PeopleSoft enthält Daten zu Personal, Studierenden, Gehältern und Buchhaltung. Es ist kein Randsystem, sondern das zentrale Register einer Organisation. Ein Diebstahl aus diesem System verursacht für jedes Opfer hohe Melde- und Haftungsschäden.
Alte Versionen vergrößern die Angriffsfläche. Laut Oracle sind auch nicht mehr unterstützte Versionen wahrscheinlich verwundbar (Security Affairs). Organisationen mit veralteten Installationen erhalten keinen Patch und müssen auf Notfallmaßnahmen oder ein Upgrade setzen.
Der Bildungssektor
68% waren Universitäten. Die Kampagne traf vor allem Universitäten und Colleges (Security Affairs). Es ist das zweite Ereignis 2026, das den Kumul auf den Bildungssektor konzentriert, nach Instructure im Mai. Für Versicherer dieses Sektors gibt es wenige, aber weit verbreitete gemeinsame Softwareanbieter.
Sensible Daten, schwere Pflichten. Passnummern, ethnische Herkunft und Behinderung sind Daten, die Meldepflichten und Klagerisiko erhöhen. Die Kosten pro Person einer Verletzung sind bei solchen Daten höher.
Die Einrichtungen haben begrenzte Mittel. Viele Universitäten betreiben komplexe Installationen selbst, mit kleinen IT-Teams. Die Geschwindigkeit, mit der Notfallmaßnahmen nach einem außerplanmäßigen Hinweis umgesetzt werden, entscheidet, ob eine Einrichtung zum Opfer wird.
Was in die Vertragsverlängerung gehört
Auswirkung für VersichererHoch
Eine unbekannte Schwachstelle in PeopleSoft wurde zwei Wochen lang von einer Erpressergruppe gegen mehr als 100 Organisationen ausgenutzt, überwiegend Universitäten, mit Diebstahl personenbezogener, teils sensibler Daten.
Auf Portfolioebene bestätigt der Fall PeopleSoft, dass bekannt sein muss, welche aus dem Internet erreichbare Unternehmenssoftware die Versicherten nutzen, vor allem in konzentrierten Branchen wie der Bildung. Ein Szenario massenhafter Ausnutzung verbreiteter Software nach dem Muster MOVEit, Cleo und PeopleSoft ist inzwischen ein wiederkehrendes Ereignis, das jährlich in Kumultests gehört.