Безопасность · 31 октября 2026 г.
Также опубликовано на Português (Brasil), 한국어, Indonesia, ไทย, 中文, العربية, हिन्दी, Español, Nederlands, Svenska, Türkçe
Критическая уязвимость Oracle PeopleSoft оказалась цепочкой из трех ошибок
Группа ShinyHunters эксплуатировала критическую уязвимость в Oracle PeopleSoft, которая, как сообщили исследователи на этой неделе, представляет собой цепочку из трех взаимосвязанных ошибок.
Все три уязвимости были исправлены компанией Oracle в июне под одним идентификатором CVE-2026-35273. В основе проблемы лежит подделка серверных запросов, которая позволяет получить доступ к внутреннему интерфейсу управления. Это стало возможным, так как PeopleSoft по умолчанию доверяет собственному адресу обратной петли, что открывает путь к удаленному выполнению кода без необходимости входа в систему.
Согласно анализу Zero Day Initiative, уязвимости затрагивают два компонента PeopleSoft: Integration Gateway и Environment Management Hub. Первая ошибка заключается в подделке серверных запросов в Integration Gateway, что позволяет злоумышленнику контролировать адрес и содержимое пересылаемого запроса. Поскольку Environment Management Hub доверяет адресу 127.0.0.1, проверка доверия проходит успешно, и внутренний интерфейс становится доступным извне.
Далее исследователи описали два способа выполнения кода. Первый метод использует команду записи логов для размещения веб-оболочки в директории приложения. Второй метод предполагает запись вредоносного файла XML, который считывается при следующем запуске службы, что делает атаку менее заметной для систем обнаружения.
Уязвимость CVE-2026-35273 затрагивает версии PeopleSoft Enterprise PeopleTools 8.61 и 8.62, имеет оценку CVSS 9.8 и позволяет неавторизованному атакующему захватить сервер через сеть. Oracle выпустила исправление 10 июня, однако атаки начались раньше. Группа UNC6240, известная как ShinyHunters, эксплуатировала эту нулевую уязвимость с 27 мая по 9 июня, в основном атакуя университеты.
В сентябре была зафиксирована новая, более масштабная волна атак, затронувшая десятки систем по всему миру в сферах технологий, ИТ-услуг, здравоохранения, сельского хозяйства, транспорта и государственного управления. Было обнаружено, что ShinyHunters обходили правила брандмауэров веб-приложений, используя кодирование одного символа в пути запроса.