Wprowadzenie do problemu / definicja
Krytyczna podatność oznaczona jako CVE-2026-35273 w Oracle PeopleSoft okazała się w praktyce złożonym łańcuchem trzech słabości, które razem prowadzą do zdalnego wykonania kodu bez konieczności uwierzytelnienia. Problem dotyczy komponentów PeopleTools i jest szczególnie istotny dla organizacji, które udostępniają swoje instancje PeopleSoft publicznie lub utrzymują niewystarczająco odseparowane komponenty administracyjne.
Znaczenie tej luki rośnie ze względu na fakt, że była ona wykorzystywana w realnych kampaniach jeszcze przed publikacją poprawki. Oznacza to scenariusz zero-day, w którym atakujący mieli możliwość uzyskania dostępu do systemów zanim administratorzy otrzymali oficjalne narzędzia naprawcze.
W skrócie
- CVE-2026-35273 otrzymała ocenę CVSS 9.8.
- Podatność dotyczy Oracle PeopleSoft Enterprise PeopleTools 8.61 oraz 8.62.
- Atak opiera się na łańcuchu obejmującym SSRF, zaufanie do ruchu lokalnego oraz możliwość zapisu plików prowadzącą do wykonania kodu.
- Kampanię powiązano z aktywnością grupy UNC6240, szerzej znanej jako ShinyHunters.
- Zagrożone są szczególnie instytucje edukacyjne, administracja, ochrona zdrowia, transport i firmy technologiczne.
Kontekst / historia
Sprawa zyskała rozgłos po analizach incydentów, które połączyły wykorzystanie podatności z działaniami przypisywanymi grupie ShinyHunters. Początkowo wiele sygnałów wskazywało na koncentrację ataków na środowiskach akademickich, jednak późniejsze obserwacje pokazały rozszerzenie kampanii również na inne sektory gospodarki.
Oracle opublikował alert bezpieczeństwa 10 czerwca 2026 roku, udostępniając poprawkę dla CVE-2026-35273. Jednocześnie badacze podkreślili, że pojedynczy identyfikator CVE opisuje w praktyce kilka odrębnych błędów obecnych w różnych częściach aplikacji, co utrudniało szybkie zrozumienie rzeczywistego mechanizmu ataku oraz pełnego zakresu ekspozycji.
Analiza techniczna
Podstawą całego łańcucha jest podatność typu Server-Side Request Forgery w komponencie PSIGW, czyli PeopleSoft Integration Gateway. Umożliwia ona atakującemu manipulowanie docelowym adresem żądania oraz jego treścią. Sama luka SSRF nie zawsze kończy się pełnym przejęciem środowiska, ale w tym przypadku zyskuje krytyczne znaczenie ze względu na wzajemne zaufanie między komponentami PeopleSoft.
Kolejnym elementem jest sposób działania PSEMHUB, czyli Environment Management Hub. Interfejs administracyjny akceptuje ruch uznany za lokalny, w tym pochodzący z adresu 127.0.0.1. W efekcie napastnik może użyć SSRF do przekazania spreparowanego żądania do lokalnego interfejsu i sprawić, że system potraktuje je jako zaufane.
Po uzyskaniu dostępu do PSEMHUB możliwe są różne ścieżki prowadzące do wykonania kodu. Jedna z nich polega na nadużyciu funkcji zapisu logów, dzięki czemu atakujący może kontrolować zarówno zawartość zapisywanego pliku, jak i jego lokalizację. Taki mechanizm pozwala umieścić web shell w katalogu aplikacji i uruchamiać polecenia z uprawnieniami konta usługi PeopleSoft.
Druga technika wykorzystuje zapis złośliwego pliku XML, który następnie jest interpretowany przez mechanizm XMLDecoder po ponownym uruchomieniu usługi. To podejście może być trudniejsze do wykrycia, ponieważ nie wymaga pozostawienia typowego web shella dostępnego z poziomu warstwy webowej.
Dodatkowym wyzwaniem jest możliwość obchodzenia części reguł bezpieczeństwa opartych na prostym filtrowaniu ścieżek URL. Kampanie obserwowane przez badaczy pokazały, że odpowiednie kodowanie znaków w adresie może pozwolić ominąć część mechanizmów WAF, jeśli te opierają się wyłącznie na prostym dopasowaniu wzorców.
Konsekwencje / ryzyko
Najpoważniejszą konsekwencją jest pełne zdalne wykonanie kodu bez logowania, co w praktyce otwiera drogę do przejęcia serwera przez atakującego działającego przez sieć. W środowisku produkcyjnym może to skutkować kradzieżą danych, instalacją trwałych mechanizmów dostępu, ruchem lateralnym w infrastrukturze oraz wykorzystaniem serwera jako punktu wejścia do dalszych ataków.
Ryzyko jest szczególnie wysokie tam, gdzie instancje PeopleSoft są dostępne z internetu lub gdzie komponenty administracyjne nie zostały odpowiednio odseparowane. Co istotne, samo wdrożenie poprawki po ujawnieniu luki nie daje gwarancji pełnego bezpieczeństwa, jeśli wcześniej doszło już do kompromitacji. Pozostawione web shelle, przejęte poświadczenia czy złośliwe pliki konfiguracyjne mogą umożliwiać dalszą obecność intruza w środowisku.
Rekomendacje
Najważniejszym krokiem powinno być niezwłoczne wdrożenie poprawek dla wszystkich wspieranych instancji Oracle PeopleSoft PeopleTools 8.61 i 8.62. Organizacje korzystające ze starszych lub niewspieranych wersji powinny potraktować migrację jako pilne zadanie operacyjne i bezpieczeństwa.
Jeżeli natychmiastowe załatanie systemu nie jest możliwe, warto zastosować środki ograniczające ekspozycję. Obejmuje to wyłączenie usługi Environment Management Hub w architekturach wieloserwerowych albo usunięcie aplikacji PSEMHUB w środowiskach jednoserwerowych, zgodnie z wytycznymi producenta. Równolegle należy ograniczyć dostęp sieciowy do interfejsów administracyjnych i potwierdzić, że nie są osiągalne z segmentów nieuprzywilejowanych.
Z perspektywy detekcji zalecany jest przegląd logów HTTP, logów aplikacyjnych i artefaktów systemowych pod kątem nietypowych żądań do PSIGW i PSEMHUB. Warto także skontrolować katalogi aplikacyjne pod kątem nieautoryzowanych plików, przeanalizować mechanizmy uruchamiania usług oraz zweryfikować obecność podejrzanych plików XML mogących wskazywać na próbę wykorzystania deserializacji lub dekodowania.
W przypadku podejrzenia udanego ataku host należy traktować jako skompromitowany. Oznacza to potrzebę zabezpieczenia materiału dowodowego, rotacji poświadczeń dostępnych z poziomu serwera, przeglądu kont uprzywilejowanych oraz oceny, czy nie doszło do wycieku danych lub dalszego rozprzestrzenienia intruza w sieci.
Podsumowanie
CVE-2026-35273 pokazuje, że pojedynczy identyfikator podatności może ukrywać złożony łańcuch błędów architektonicznych i implementacyjnych. Połączenie SSRF, nadmiernego zaufania do ruchu lokalnego oraz możliwości zapisu plików w krytycznych ścieżkach doprowadziło do scenariusza przejęcia systemu bez uwierzytelnienia.
Dla zespołów bezpieczeństwa kluczowe pozostają trzy działania: szybkie patchowanie, weryfikacja ekspozycji komponentów administracyjnych oraz kontrola, czy organizacja nie została naruszona jeszcze przed publikacją poprawek. W praktyce reakcja na ten typ zagrożenia musi obejmować nie tylko usunięcie luki, ale również pełne sprawdzenie skutków potencjalnej kompromitacji.
Źródła
- The Hacker News — https://thehackernews.com/2026/10/shinyhunters-exploited-oracle.html
- Oracle Security Alert Advisory – CVE-2026-35273 — https://www.oracle.com/security-alerts/alert-cve-2026-35273.html
- NVD – CVE-2026-35273 — https://nvd.nist.gov/vuln/detail/CVE-2026-35273
- CISA Known Exploited Vulnerabilities Catalog — https://www.cisa.gov/known-exploited-vulnerabilities-catalog
- Google Cloud Blog – Threat Intelligence — https://cloud.google.com/blog/topics/threat-intelligence/shinyhunters-exploits-oracle-peoplesoft-vulnerability-university-networks