Oracle PeopleSoft nulles dienas kļūda: ShinyHunters ielauzušies 300 instancēs pirms ielāpa

Oracle 10. jūnijā izlaida ārkārtas drošības brīdinājumu par ievainojamību CVE-2026-35273 PeopleSoft PeopleTools produktā. Tobrīd to jau divas nedēļas izmantoja uzbrucēji. Kļūda ļauj neautentificētam uzbrucējam pa tīklu izpildīt patvaļīgu kodu uz servera, un tās CVSS vērtējums ir 9,8 no 10.

Līdz jūlija sākumam noziedznieku grupa ShinyHunters bija ielauzusies aptuveni 300 PeopleSoft instancēs vairāk nekā 100 organizācijās. 3. jūlijā datu zādzību apstiprināja Nissan, Kubota Ziemeļamerikas nodaļa un Aflac Japānas meitasuzņēmums. ShinyHunters neizmanto šifrēšanu — grupa izvelk datus un draud tos publicēt tumšā tīmekļa noplūdes vietnē, ja upuris nemaksā.

PeopleSoft ir Oracle uzņēmuma resursu pārvaldības komplekts personāla, algu, finanšu un studentu datu uzskaitei. To lieto lielas korporācijas, universitātes un valsts iestādes, tāpēc vienā serverī bieži glabājas tūkstošiem cilvēku personas dati. PeopleTools ir slānis, uz kura šīs lietotnes darbojas, un tieši tur ir kļūda.

Kur slēpjas kļūda

Ievainojamība ir PeopleTools komponentē Updates Environment Management, saīsināti EMHub. Uzbrukums izmanto divus galapunktus. Galapunkts /PSEMHUB/hub nedroši deserializē parametru OPERATION, ko atsūta uzbrucējs, bet /PSIGW/HttpListeningConnector kalpo kā SSRF tilts uz iekšējiem servisiem. Rapid7 un Google Mandiant to apraksta kā gadžetu ķēdi: jaunā nulles dienas kļūda tiek sasaistīta ar vecākām, jau zināmām kļūdām, lai iegūtu koda izpildi bez pieteikšanās.

Nedroša deserializācija nozīmē, ka serveris pārvērš uzbrucēja atsūtītos baitus par objektu un palaiž to, nepārbaudot, ko tas dara. SSRF savukārt liek pašam serverim izsūtīt pieprasījumus, tāpēc perimetra ugunsmūris nepalīdz — pieprasījums nāk no iekšpuses. Skartas ir PeopleTools versijas 8.61 un 8.62; vecākas, jau neuzturētas versijas, visticamāk, arī.

Divas nedēļas bez ielāpa

Mandiant novēroja aktīvu izmantošanu no 27. maija līdz 9. jūnijam. Visu šo laiku kļūda bija nulles diena, un ielāpa nebija. Oracle brīdinājumu izlaida 10. jūnijā ārpus parastā ceturkšņa ielāpu grafika, Mandiant ziņojumu — nākamajā dienā, piedēvējot kampaņu grupai UNC6240, kas ir ShinyHunters. 12. jūnijā ASV aģentūra CISA kļūdu iekļāva zināmo izmantoto ievainojamību katalogā, kas federālajām iestādēm uzliek obligātu ielāpošanas termiņu.

Pēc iekļūšanas uzbrucēji uzstādīja MeshCentral attālās pārvaldības aģentus, veica izlūkošanu un izvilka datus, saspiestus ar zstd. SoCRadar iesaka sekot izejošajai SMB plūsmai pa portu TCP 445, jo tā ir viena no pazīmēm, ka serveris sazinās ar svešu infrastruktūru. MeshCentral izvēle nav nejauša: tas ir atklāta koda rīks, kas iekšpusē izskatās pēc parastas administrēšanas programmatūras un tāpēc reti izraisa trauksmi.

Katra apstiprinātā upura organizācija saņēma izspiešanas pieprasījumu. Ja maksājums nepienāk, faili nonāk publiskā noplūdes vietnē.

Kas ir ShinyHunters

ShinyHunters ir finansiāli motivēta grupa, kas zināma kopš 2020. gada un specializējas datu zādzībā un izspiešanā, nevis šifrēšanā. Mandiant to izseko ar apzīmējumu UNC6240. Grupa jau iepriekš stāvēja aiz plašiem datu noplūdes gadījumiem, un PeopleSoft kampaņa iekļaujas tajā pašā shēmā: nozagt datubāzi, tad prasīt naudu par to, lai dati nenonāk publiskā apritē.

Kas jau cietis

68% no vairāk nekā 100 paziņotajām organizācijām ir koledžas un universitātes. Uzbrucēji mērķēja uz PeopleSoft HCM datubāzēm, no kurām izvilka personāla, algu un personas datus. Papildus jau minētajiem uzņēmumiem datu zādzību apstiprināja arī apdrošinātāju apvienība National Association of Insurance Commissioners. Izglītības sektora pārsvars ir izskaidrojams: universitātes bieži uztur lielas PeopleSoft instalācijas, ko atjaunina lēni un kas nereti pieejamas no interneta.

Daudzi ielaušanās gadījumi atklājās tikai jūlijā, jo datu aizsardzības likumi liek par noplūdēm ziņot noteiktā termiņā. Publiski apstiprinātais skaits tāpēc ir zemāks par reālo, un jauni paziņojumi turpinās pienākt nedēļām. ShinyHunters papildus izdara spiedienu, pamīšus publicējot upuru sarakstus savā noplūdes vietnē.

Ko darīt tagad

Oracle ielāps ir pieejams kopš 10. jūnija, tāpēc uzstādi to nekavējoties. Ja to izdarīt uzreiz nevar, atslēdz Environment Management Hub servisu — produkcijā tas daudzām instalācijām nemaz nav vajadzīgs — un bloķē ārēju piekļuvi ceļiem /PSEMHUB/* un /PSIGW/HttpListeningConnector. Pārbaudi PeopleSoft žurnālus pēc aizdomīgiem EMHub pieprasījumiem un meklē MeshCentral aģentus vai citus nesankcionētus procesus.

Uzbrukumi sākās jau maijā, tāpēc ielāpa uzstādīšana viena pati neko negarantē. Ja serveris bija pieejams no interneta, pieņem, ka tas varēja būt kompromitēts, un meklē pēcuzbrukuma pēdas: jaunas lietotāju sesijas, izejošu datu plūsmu un svešus attālās pārvaldības rīkus.

Iekšējie administrēšanas galapunkti kā EMHub nedrīkst būt sasniedzami no interneta. Pārbaudi, kuri PeopleSoft ceļi ir publiski pieejami, un noslēdz visu, kas ārpasaulei nav vajadzīgs. Šī kampaņa parāda, cik ātri viens atvērts galapunkts pārvēršas par pilnu datubāzes zādzību.

Avoti

• Rapid7 — Active Exploitation of Oracle PeopleSoft Zero-Day (CVE-2026-35273)
• SoCRadar — CVE-2026-35273 in PeopleTools EMHub Under Active Exploitation
• Arctic Wolf — Critical Oracle PeopleSoft Vulnerability Actively Exploited
• Picus Security — CVE-2026-35273 Oracle PeopleSoft RCE Zero-Day Explained
• CISA — Known Exploited Vulnerabilities Catalog