Oracle hat eine kritische Sicherheitslücke in PeopleSoft publik gemacht. Die Schwachstelle CVE-2026-35273 steckt in PeopleTools und erlaubt Angreifern die Ausführung von beliebigem Code – ohne Login, ohne gültige Zugangsdaten. Ein Patch ist verfügbar, doch Sicherheitsforscher berichten bereits von kompromittierten Servern. Für Unternehmen, die PeopleSoft als ERP-Backend betreiben, ist das ein unmissverständlicher Weckruf.
Warum betrifft das auch E-Commerce-Betreiber?
PeopleSoft ist kein klassisches Shopsystem. In großen Konzernen und im B2B-Handel fungiert es jedoch als zentrales Rückgrat für Warenwirtschaft, Finanzbuchhaltung und Kundenstammdaten. Viele Enterprise-Händler koppeln ihre B2B-Portale oder internen PIM-Systeme direkt an PeopleSoft. Wenn das ERP kompromittiert wird, liegen dort oft Bestandsdaten, Preislisten und vertragliche Kundeninformationen. Ein Angriff kann also indirekt den gesamten E-Commerce-Stack lahmlegen oder sensible Daten abfließen lassen. Die Trennung zwischen Frontend-Shop und Backend-ERP verschwimmt hier schnell. Gerade für Händler mit B2B-Geschäftsmodell, die über PeopleSoft Rabattstaffeln, Vertragskonditionen und Kreditlinien verwalten, ist das ein existenzielles Risiko. Die Datenqualität im Shop hängt direkt vom ERP ab.
Was macht die Lücke technisch so brisant?
Die Attacke funktioniert aus der Ferne. Hacker müssen sich nicht authentifizieren. Sie senden präparierte Requests an anfällige PeopleSoft-Server und erlangen anschließend vollständige Kontrolle über das System. Oracle stuft die Lücke in die höchste Risikokategorie ein. Besonders beunruhigend: Das Unternehmen bestätigte in seinem Security Alert vom 10. Juni, dass bereits erste Server kompromittiert wurden. Das unterscheidet diesen Fall von rein theoretischen Bedrohungen. Es ist keine Frage, ob jemand die Lücke nutzt, sondern wie viele Systeme noch ungepatcht im Netz hängen. Die Lücke betrifft konkret PeopleTools, das technische Framework hinter PeopleSoft Enterprise Applications. Das bedeutet: Nicht nur ein isoliertes Modul, sondern die Basis vieler Geschäftsanwendungen ist betroffen. Ungepatchte Instanzen lassen sich als offene Türen ins Unternehmensnetz missbrauchen.
Was müssen Betreiber jetzt tun?
Wer PeopleSoft im Einsatz hat – sei es als ERP-Backend, für B2B-Portale oder interne Logistikprozesse – sollte das Sicherheitsupdate umgehend einspielen. Das bedeutet nicht nur das Einspielen des Patches, sondern auch eine rigorose Prüfung der Server-Logs auf Anomalien seit Anfang Juni. Sicherheitsteams sollten prüfen, ob PeopleSoft-Instanzen über das öffentliche Internet erreichbar sind. Eine Segmentierung ins interne Netz oder der Zwang zur VPN-Anbindung minimiert das Risiko deutlich. Zusätzlich empfiehlt sich eine Überprüfung der API- und Schnittstellen-Zugriffe zu angeschlossenen Shop-Systemen. Denn ein kompromittiertes ERP kann auch als Sprungbrett in Richtung E-Commerce-Plattform genutzt werden. Wer keine interne Security-Abteilung hat, sollte kurzfristig externe Expertise einkaufen. Die Downtime für das Patchen ist ärgerlich, ein Datenleck oder Ransomware-Angriff ist es weitaus mehr.
Die Lücke zeigt, dass Backend-Systeme längst im Fokus professioneller Angreifer liegen. Für E-Commerce-Manager endet Sicherheit nicht an der Shop-Front. Wer seine ERP-Landschaft ausblendet, lässt die Hintertür weit offen – und riskiert Schäden, die weit über den reinen IT-Bereich hinausgehen.