ShinyHunters 利用 Oracle PeopleSoft 零日漏洞，實際上為三條連結缺陷

Swati KhandelwalOct 28, 2026漏洞 / 企業安全

自五月以來，ShinyHunters 已利用的 Oracle PeopleSoft 漏洞並非單一缺陷，而是三個相互連結的缺陷，報告者本週表示。

Oracle 在六月以單一識別碼, CVE-2026-35273 修補了所有三個漏洞。其根本問題是伺服器端請求偽造（SSRF），可存取內部管理介面，因為 PeopleSoft 預設信任自己的迴環地址，從而讓攻擊者在未登入的情況下進行遠端程式碼執行。

細節由 Zero Day Initiative（ZDI）的 Bobby Gould 提供，他的團隊已將該缺陷報告給 Oracle。

在其分析中，ZDI 表示已報告三個不同的漏洞，涉及兩個 PeopleSoft 元件，並表示正在與 Oracle 合作為每個漏洞分配獨立的 CVE。至本週為止，六月的單一識別碼仍是唯一被登入的。

CVE-2026-35273 影響 PeopleSoft Enterprise PeopleTools 8.61 與 8.62 版本，CVSS 分數為 9.8，允許未授權攻擊者透過網路接管伺服器。Oracle 於六月 10 日以一次性外部安全警報安全警報釋出修正。該缺陷已列入 CISA 的已知可被利用漏洞目錄。

攻擊者已在修復前使用此漏洞。Mandiant 與 Google 威脅情報團隊（GTIG）將一次活動歸因於其追蹤的團體 UNC6240，也稱為 ShinyHunters，該團體在 5 月 27 日至 6 月 9 日間利用該缺陷，主要針對大學。由於該活動發生在 Oracle 6 月 10 日的通告之前，整個期間都屬於零日漏洞。

在一九月的後續報告中，Mandiant 報告說，新的更大規模波次已擴散至教育以外的科技、IT 服務、醫療保健、農業、運輸及政府等領域，影響全球數十個系統。

ZDI 的分析說明該單一修補程式實際上關閉了哪些問題。涉及兩個 PeopleSoft 元件，皆以獨立網頁應用執行。整合閘道（PSIGW）與外部系統交換訊息。環境管理中心（PSEMHUB）則是內部管理介面，原本只應回應受信任主機。

第一個缺陷是 PSIGW 的 SSRF。攻擊者向其監聽聯結器傳送請求，並可控制轉發的目標地址及完整的有效負載，ZDI 表示；處理程式未檢查目標是否為合法目標。僅此一點本身限制較小，除非它能達到的範圍。

PSEMHUB 透過檢查請求者是否在名為 allowedhosts.properties 的檔案中的清單來決定信任物件。該檔案預設包含本機迴環地址 127.0.0.1，已在清單上。於是攻擊者將 SSRF 指向 127.0.0.1，請求看似來自本機，信任檢查通過。Oracle 原本打算隔離的內部介面現在可從外部存取。

從那裡，ZDI 描述了兩種將該存取權轉為程式碼執行的方法。其中一種濫用 PSEMHUB 用於寫入日誌條目的指令：呼叫者可控制檔案內容及磁碟上精確路徑，攻擊者因此可將網頁殼寫入應用程式目錄，並以 PeopleSoft 服務帳號執行指令。

另一個寫入惡意 XML 檔案，PSEMHUB 在服務下次啟動時會使用 Java 的 XMLDecoder 讀取，從而執行攻擊者的程式碼，而不需要植入網頁殼。第二種路徑則讓標準偵測更難捕捉。

ZDI 說，核心設計決策是預設允許迴路存取，導致一旦 SSRF 存在，信任檢查就失效。這對於以為防火牆規則已保護自己的防禦者來說很重要。

在九月的攻擊浪潮中，Mandiant 發現 ShinyHunters 透過對單一字元進行 URL 編碼，將 /PSEMHUB/ 路徑改為 /%50SEMHUB/ ，從而繞過了阻擋該 /PSEMHUB/ 路徑的網頁應用防火牆（WAF）規則。許多 WAF 規則會匹配路徑的純文字，而 PeopleSoft 伺服器會解碼並提供該頁面。

該怎麼做

此處的修復與指引來自 Oracle 與 Mandiant，而非 ZDI 的分析，後者僅針對漏洞而非回應。

套用補丁。 安裝 Oracle 的安全警示修正（CVE-2026-35273），並保持在受支援的 PeopleTools 版本。Mandiant 明確指出，基於路徑的 WAF 阻擋並非替代補丁的選項。
若尚未能套用補丁， 請在多伺服器設定中停用 Environment Management Hub 服務，或在單伺服器設定中移除 PSEMHUB 應用程式，正如 Oracle 的警示所建議。限制這些管理端點不會影響正常使用者的會話。
若您可能已受到攻擊， Mandiant 建議將任何帶有網頁殼的主機視為已被入侵，儲存證據，並輪換所有可從 PeopleSoft 層存取的憑證。ShinyHunters 會盜取資料後再要求付款，受影響的機構應準備應對敲詐。

來源並未釐清套用補丁是否能移除攻擊者已取得的存取權。Oracle 的警示未提及此點，而 Mandiant 的指引在輪換憑證並搜尋網頁殼時假設補丁並未移除存取。補丁雖能關閉門，但並不會自動驅逐已進入的攻擊者。

覺得這篇文章有趣嗎？請在 Google News、Twitter 與 LinkedIn 追蹤我們，閱讀更多專屬內容。