Уязвимость в Oracle PeopleSoft Enterprise PeopleTools (CVE-2026-101416)

Oracle сообщила об уязвимости в продукте PeopleSoft Enterprise PeopleTools (компонент PsAdmin). Проблема затрагивает поддерживаемые версии 8.61–8.63 и получила оценку 7.5 по шкале CVSS 3.1, что соответствует высокому уровню опасности.

Подробности

Уязвимость классифицирована как сложная в эксплуатации (AC:H). Для успешной атаки злоумышленнику необходим доступ к физическому коммуникационному сегменту, к которому подключено оборудование, исполняющее PeopleSoft Enterprise PeopleTools. При этом аутентификация не требуется (PR:N), а взаимодействие с пользователем не нужно (UI:N). Согласно вектору CVSS:3.1/AV:A/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H, успешная эксплуатация позволяет полностью скомпрометировать продукт — с высоким влиянием на конфиденциальность, целостность и доступность. Иными словами, атакующий теоретически может получить контроль над системой, что создаёт серьёзные риски для бизнес-процессов, построенных на PeopleSoft. Сложность эксплуатации (высокая) и требование доступа к локальному сетевому сегменту несколько снижают вероятность массовых атак, однако для внутренних нарушителей или злоумышленников, сумевших закрепиться в смежной инфраструктуре, уязвимость представляет реальную угрозу.

Что делать

Oracle традиционно выпускает исправления в рамках плановых Critical Patch Updates. Рекомендуется:

• проверить, какие версии PeopleSoft Enterprise PeopleTools используются в инфраструктуре (8.61–8.63), и установить актуальное обновление безопасности от Oracle;
• ограничить физический и сетевой доступ к сегментам, где развёрнут PeopleSoft, применяя сегментацию сети и контроль доступа;
• вести мониторинг подозрительной активности в сегментах, связанных с PsAdmin, и журналировать обращения к компоненту;
• при невозможности немедленного обновления — усилить изоляцию затронутых систем и ограничить круг устройств, имеющих к ним сетевой доступ.

Итог: CVE-2026-101416 — серьёзная уязвимость высокого уровня опасности в PeopleSoft Enterprise PeopleTools, требующая внимания администраторов Oracle-инфраструктуры. Хотя эксплуатация осложнена, последствия успешной атаки — полный захват продукта — делают своевременное обновление и сегментацию сети обязательными мерами защиты.

Источник: CVE Project (cvelistV5)