Tiga Celah Keamanan Berantai Digunakan ShinyHunters untuk Eksploitasi Oracle PeopleSoft

white and black digital wallpaper — Christopher Burns / Unsplash

Kelompok ShinyHunters telah mengeksploitasi tiga celah keamanan yang saling berantai pada Oracle PeopleSoft sejak Mei. Para peneliti yang melaporkan temuan ini mengungkapkan bahwa masalah tersebut bukan merupakan satu kesalahan tunggal, melainkan kombinasi dari tiga kerentanan.

Oracle telah memberikan perbaikan untuk ketiga celah tersebut pada bulan Juni di bawah satu pengenal tunggal, yaitu CVE-2026-35273. Akar permasalahannya adalah pemalsuan permintaan server-side atau SSRF yang dapat menjangkau antarmuka manajemen internal. Hal ini terjadi karena PeopleSoft secara default mempercayai alamat loopback miliknya sendiri, sehingga memungkinkan eksekusi kode jarak jauh tanpa memerlukan masuk log.

Analisis dari Zero Day Initiative menunjukkan bahwa terdapat tiga kerentanan berbeda pada dua komponen PeopleSoft. Komponen pertama adalah Integration Gateway yang bertugas bertukar pesan dengan sistem luar, di mana terdapat celah SSRF yang memungkinkan penyerang mengontrol alamat tujuan dan muatan yang dikirim. Komponen kedua adalah Environment Management Hub, sebuah antarmuka admin internal yang seharusnya hanya menjawab host terpercaya. Karena alamat loopback lokal sudah terdaftar sebagai host terpercaya, penyerang dapat mengarahkan SSRF ke alamat tersebut untuk melewati pemeriksaan kepercayaan.

Setelah mendapatkan akses, penyerang memiliki dua cara untuk mengeksekusi kode. Metode pertama adalah menyalahgunakan perintah penulisan entri log untuk menulis shell web ke dalam direktori aplikasi. Metode kedua adalah menulis file XML berbahaya yang dibaca oleh XMLDecoder Java saat layanan dimulai kembali, yang memungkinkan eksekusi kode tanpa menanam shell web.

Kerentanan CVE-2026-35273 ini berdampak pada PeopleSoft Enterprise PeopleTools versi 8.61 dan 8.62 dengan skor CVSS 9.8. Celah ini memungkinkan penyerang yang tidak terautentikasi untuk mengambil alih server melalui jaringan. Oracle merilis perbaikan melalui peringatan keamanan luar jadwal pada 10 Juni, dan celah ini telah masuk dalam katalog kerentanan yang diketahui dieksploitasi milik CISA.

Kampanye eksploitasi oleh kelompok UNC6240, atau ShinyHunters, terjadi antara 27 Mei dan 9 Juni, terutama menargetkan universitas. Karena aktivitas ini terjadi sebelum pemberitahuan Oracle, serangan ini dikategorikan sebagai zero-day. Pada bulan September, terjadi gelombang serangan yang lebih besar yang meluas ke sektor teknologi, layanan IT, kesehatan, pertanian, transportasi, dan pemerintah, yang berdampak pada puluhan sistem di seluruh dunia. ShinyHunters dilaporkan berhasil melewati aturan firewall aplikasi web dengan menggunakan pengodean URL pada jalur akses.