ShinyHunters, Oracle PeopleSoft'taki sıfırıncı gün açığıyla üniversiteleri hedef aldı
Mandiant, PeopleTools'taki kimlik doğrulamasız kod çalıştırma açığı CVE-2026-35273'ün 27 Mayıs–9 Haziran arasında istismar edildiğini açıkladı. Bildirim yapılan 100'ü aşkın kurumun yüzde 68'i yükseköğretimde.
Google'a bağlı Mandiant, veri hırsızlığı ve şantajla bilinen ShinyHunters grubunun (Mandiant takibinde UNC6240) Oracle PeopleSoft'taki yamasız bir açığı kullanarak çok sayıda kuruma sızdığını duyurdu. CVE-2026-35273 kimlikli açık CVSS 9.8 puan taşıyor ve kimlik doğrulaması gerektirmeden HTTP üzerinden uzaktan kod çalıştırmaya imkân veriyor.
Açık ve zaman çizelgesi
Zafiyet, PeopleSoft Enterprise PeopleTools içindeki Environment Management bileşeninde, yani Environment Management Hub (PSEMHUB) uç noktasının arkasındaki kodda bulunuyor. Oracle'a göre 8.61 ve 8.62 sürümleri etkileniyor; destek dışı eski sürümlerin de muhtemelen etkilendiği belirtiliyor.
Reklam
Sponsorlu içerik alanıÜrün duyurularınızı ve etkinliklerinizi doğru kitleye ulaştırın.Haber içi · Detaylar ›
Mandiant, istismar faaliyetini 27 Mayıs – 9 Haziran 2026 arasına tarihliyor. Oracle'ın bildirimi ise 10 Haziran'da yayımlandı; dolayısıyla saldırılar boyunca açık bir sıfırıncı gün olarak kaldı. CISA da açığı kısa süre içinde Bilinen İstismar Edilen Açıklar (KEV) kataloğuna ekledi.
Hedefler ve saldırı sonrası faaliyet
Mandiant, IP adresleri savunmasız uç noktalarla eşleşen 100'ü aşkın kuruma bildirimde bulundu; bunların yüzde 68'i çoğunluğu ABD'de olan yükseköğretim kurumları. Haberlere göre bazı kurumlar saldırıyı engelledi, bazılarının verileri ise grubun sızıntı sitesinde yayımlandı. İlk doğrulanan kurbanlardan biri olan University of Nottingham ihlali kabul etti.
Araştırmacıların tespit ettiği altyapıda, Azure dosyası gibi gizlenmiş özelleştirilmiş MeshCentral uzaktan yönetim ajanları ve iç ağda SSH ile yatay hareket deneyen bir betik yer aldı. Bu, şimdiye kadar daha çok sesli oltalama ve çalınmış token'larla bilinen grubun, şirket içi ERP yazılımında sunucu tarafı bir sıfırıncı güne yönelmesi anlamına geliyor.
Ne yapılmalı?
- My Oracle Support'taki yama belgesi kontrol edilip PeopleTools sürümüne uygun güncelleme uygulanmalı.
- Oracle'ın geçici önlemleri: çok sunuculu kurulumlarda Environment Management Hub servisi kapatılmalı, tek sunuculu kurulumlarda PSEMHUB uygulaması kaldırılmalı.
- Bu mümkün değilse
/PSEMHUB/*ve/PSIGW/HttpListeningConnectoryollarına dışarıdan erişim çevre güvenliğinde engellenmeli. Mandiant, yalnızca WAF gövde denetimi kurallarına güvenilmemesi gerektiğini vurguluyor. - WebLogic erişim kayıtlarında bu yollara dışarıdan gelen POST istekleri, PSEMHUB dizinlerinde beklenmeyen .jsp dosyaları ve PeopleSoft sunucularından dışarıya SMB trafiği aranmalı.
