- Aktif istismar
- CWE-306
CVE-2026-35273
Oracle PeopleSoft PeopleTools'ta kimlik doğrulama eksikliği: tam sistem ele geçirme
- Yayımlandı
- Güncellendi
- 4 Ağu 2026
- Açık yaşı
- 139 gün
- Kaydı açan
- oracle
Yönetici özeti
Kurumsal insan kaynakları ve finans süreçlerinde kullanılan Oracle PeopleSoft sistemi, kimlik bilgisi gerekmeden dışarıdan ele geçirilebilir durumdadır. Zafiyetin aktif olarak istismar edildiği bildirildiği için acil müdahale gerekir. Etkilenen sürümleri kullanan kurumların hızla düzeltme uygulaması ve olası bir ihlal için sistemlerini incelemesi gerekir.
ÖzetTürkçe
Oracle PeopleSoft Enterprise PeopleTools ürününün Updates Environment Management bileşeninde kritik bir işlev için kimlik doğrulama yapılmaması (CWE-306) sorunu bulunuyor. Etkilenen sürümler 8.61 ve 8.62'dir. Ağ erişimi olan kimliği doğrulanmamış bir saldırgan, HTTP üzerinden kolayca istismar ederek PeopleTools'u ele geçirebilir. Zafiyet CISA'nın bilinen istismar edilen zafiyetler (KEV) listesine eklenmiştir.
Saldırgan ne yapabilir?
Kimlik doğrulaması olmayan bir saldırgan, HTTP üzerinden PeopleSoft Enterprise PeopleTools'un tam kontrolünü ele geçirerek gizlilik, bütünlük ve erişilebilirlik üzerinde yüksek etki oluşturabilir. Zafiyetin CVSS puanı 9.8'dir.
Kaynaktaki açıklama (İngilizce)
Vulnerability in the PeopleSoft Enterprise PeopleTools product of Oracle PeopleSoft (component: Updates Environment Management). Supported versions that are affected are 8.61 and 8.62. Easily exploitable vulnerability allows unauthenticated attacker with network access via HTTP to compromise PeopleSoft Enterprise PeopleTools. Successful attacks of this vulnerability can result in takeover of PeopleSoft Enterprise PeopleTools. CVSS 3.1 Base Score 9.8 (Confidentiality, Integrity and Availability impacts). CVSS Vector: (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H).
CISA'nın önerdiği eylem (İngilizce)
Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.
Ne yapmalı?
- Oracle'ın güvenlik bültenindeki talimatları izleyerek PeopleSoft Enterprise PeopleTools 8.61 ve 8.62 sürümleri için yayımlanan güncellemeyi veya hafifletme önlemlerini hemen uygulayın. Genel öneri
- Her varlığın internete açıklık durumunu değerlendirin; CISA'nın BOD 26-04 yama yönergelerine ve adli bilişim triyaj gereksinimlerine uyun. CISA
- Hafifletme önlemleri uygulanamıyorsa ürünün kullanımını durdurun. Bulut hizmetleri için BOD 26-04 yönergelerini izleyin. CISA
- Yama uygulanana kadar PeopleSoft'a internetten erişimi kapatın veya yalnızca güvenilir ağlarla sınırlandırın. Genel öneri
Ek önlemler
- Zafiyetin aktif olarak istismar edildiğini göz önünde bulundurarak sistem ve web sunucusu günlüklerinde şüpheli HTTP isteklerini ve beklenmeyen yönetimsel değişiklikleri inceleyin. Genel öneri
- PeopleSoft yönetim ve güncelleme ortamı arayüzlerini güvenlik duvarı, VPN veya IP kısıtlamasıyla yalnızca yetkili yöneticilere açın. Genel öneri
- Olası bir ihlal şüphesinde sistemi izole edin, adli kopya alın ve ilgili hesapların parolalarını ile anahtarlarını yenileyin. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Oracle Corporation PeopleSoft Enterprise PeopleTools | 8.61 | – |
| 8.62 | – |
Kaynaklar5 kaynak
- CVE.org kaydı
- NVD kaydı
- oracle.com/security-alerts/alert-cve-2026-35273.html Üretici bülteni
- cisa.gov/known-exploited-vulnerabilities-catalog Üçüncü taraf
- support.oracle.com/signin Diğer
Kayıt geçmişi
- CISA KEV listesine eklendi (saldırılarda kullanılıyor)
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.