В продуктах Oracle PeopleSoft Enterprise выявлено несколько уязвимостей. Некоторые из них позволяют удалённо выполнить произвольный код, другие ведут к отказу в обслуживании и раскрытию данных. Затронуты приложения PeopleSoft Enterprise веток 9.1 и 9.2 и платформа PeopleTools, на которой они работают. Сведения опираются на бюллетень Oracle PeopleSoft cpuoct2026 от 20 октября 2026 года.
PeopleTools и приложения Enterprise среди затронутых продуктов
PeopleSoft - линейка корпоративных приложений Oracle для управления персоналом (HCM), финансами (FIN) и цепочками поставок (SCM). Платформа PeopleTools служит общей средой исполнения для приложений этой линейки. Аббревиатура CC в названиях означает общие объекты приложений, которые используют разные модули. В перечне затронутых продуктов - PeopleTools версий 8.61-8.63, HCM Human Resources, HCM Global Payroll Switzerland, SCM Manufacturing, SCM Purchasing, SCM Strategic Sourcing, FIN Cash Management и CC Common Application Objects версии 9.2. Локализации для Бразилии и Аргентины указаны в ветке 9.1, остальные продукты относятся к ветке 9.2.
Отказ в обслуживании означает, что приложение перестаёт отвечать на запросы пользователей. Обход политики безопасности даёт доступ к функциям, которые пользователю не положены. Раскрытие данных и нарушение целостности затрагивают записи, которые приложение хранит и обрабатывает. В уведомлении перечислены все эти последствия, включая удалённое выполнение кода. Какая уязвимость к какому последствию ведёт, источник не уточняет.
Оценки CVSS (общая шкала оценки уязвимостей, от 0 до 10) в уведомлении нет. Уровень опасности тоже не указан. Строку вектора атаки источник не приводит. Механику проблем он не раскрывает. Условия атаки не уточняются: неясно, нужен ли доступ по сети или к самой системе, требуются ли учётные данные и участие пользователя. Детали следует искать в бюллетене Oracle по адресу oracle.com/security-alerts/cpuoct2026.html.
Номера исправленных версий источник не называет. Исправления нужно брать из бюллетеня Oracle PeopleSoft cpuoct2026 от 20 октября 2026 года. Там же приведены ссылки на записи CVE (CVE - единый идентификатор уязвимости в публичной базе). Обходных мер, настроек или ограничений уведомление не описывает. Поэтому у администратора остаются обновление и отслеживание следующей версии бюллетеня.
Об эксплуатации в реальных атаках сведений нет. Публикация бюллетеня означает, что технические детали и исправления стали доступны, а не то, что уязвимости уже используют. Сведений о публичном эксплойте источник тоже не приводит. Уведомление датировано 21 октября 2026 года.
Локализации выходят отдельными продуктами: FIN Common Objects для Аргентины, FIN Common Objects, FIN Inventory, FIN Manufacturing и FIN Product Configurator для Бразилии. Все они указаны в ветке 9.1.
Проверку начинают с платформы PeopleTools: она общая для линейки. Затем сверяют версии развёрнутых модулей. Обновления ставят по бюллетеню Oracle, отдельно для каждого экземпляра системы. Продукты вне перечня в уведомлении не названы, поэтому оснований обновлять их по этому бюллетеню нет.
Практический эффект зависит от того, какие модули развёрнуты в организации. PeopleSoft обслуживает кадровый учёт, расчёты с поставщиками и закупки. В таких системах хранятся персональные и финансовые записи. При удалённом выполнении кода злоумышленник запускает свои команды в процессе приложения, не получая доступ к консоли сервера. Поэтому обновление по бюллетеню Oracle укладывается в обычный цикл управления исправлениями (patch management). Если PeopleSoft размещён у внешнего провайдера, сроки установки согласуют с ним.
Ссылки
