---
title: Критическая уязвимость Oracle PeopleSoft оказалась цепочкой из трех ошибок
url: https://www.dataloco.com/ru/kriticeskaia-uiazvimost-oracle-peoplesoft-okazalas-cepockoi-iz-trex-osibok
published: 2026-10-31T08:32:09+00:00
language: ru
section: Безопасность
source: https://thehackernews.com/2026/10/shinyhunters-exploited-oracle.html
organizations: Oracle, Zero Day Initiative, Mandiant, Google Threat Intelligence Group
publisher: Dataloco
---

# Критическая уязвимость Oracle PeopleSoft оказалась цепочкой из трех ошибок

Группа ShinyHunters эксплуатировала критическую уязвимость в Oracle PeopleSoft, которая, как сообщили исследователи на этой неделе, представляет собой цепочку из трех взаимосвязанных ошибок.

Все три уязвимости были исправлены компанией Oracle в июне под одним идентификатором CVE-2026-35273. В основе проблемы лежит подделка серверных запросов, которая позволяет получить доступ к внутреннему интерфейсу управления. Это стало возможным, так как PeopleSoft по умолчанию доверяет собственному адресу обратной петли, что открывает путь к удаленному выполнению кода без необходимости входа в систему.

Согласно анализу Zero Day Initiative, уязвимости затрагивают два компонента PeopleSoft: Integration Gateway и Environment Management Hub. Первая ошибка заключается в подделке серверных запросов в Integration Gateway, что позволяет злоумышленнику контролировать адрес и содержимое пересылаемого запроса. Поскольку Environment Management Hub доверяет адресу 127.0.0.1, проверка доверия проходит успешно, и внутренний интерфейс становится доступным извне.

Далее исследователи описали два способа выполнения кода. Первый метод использует команду записи логов для размещения веб-оболочки в директории приложения. Второй метод предполагает запись вредоносного файла XML, который считывается при следующем запуске службы, что делает атаку менее заметной для систем обнаружения.

Уязвимость CVE-2026-35273 затрагивает версии PeopleSoft Enterprise PeopleTools 8.61 и 8.62, имеет оценку CVSS 9.8 и позволяет неавторизованному атакующему захватить сервер через сеть. Oracle выпустила исправление 10 июня, однако атаки начались раньше. Группа UNC6240, известная как ShinyHunters, эксплуатировала эту нулевую уязвимость с 27 мая по 9 июня, в основном атакуя университеты.

В сентябре была зафиксирована новая, более масштабная волна атак, затронувшая десятки систем по всему миру в сферах технологий, ИТ-услуг, здравоохранения, сельского хозяйства, транспорта и государственного управления. Было обнаружено, что ShinyHunters обходили правила брандмауэров веб-приложений, используя кодирование одного символа в пути запроса.

## This story in other languages

- [Português (Brasil)](https://www.dataloco.com/pt-br/falha-critica-no-oracle-peoplesoft-e-composta-por-tres-vulnerabilidades-encadeadas)
- [한국어](https://www.dataloco.com/ko/shinyhunters-oracle-peoplesoft)
- [Indonesia](https://www.dataloco.com/id/tiga-celah-keamanan-berantai-digunakan-shinyhunters-untuk-eksploitasi-oracle-peoplesoft)
- [ไทย](https://www.dataloco.com/th/oracle-peoplesoft-shinyhunters)
- [中文](https://www.dataloco.com/zh/shinyhuntersoracle-peoplesoft)
- [العربية](https://www.dataloco.com/ar/thghr-oracle-peoplesoft-alty-astghltha-shinyhunters-ttkon-mn-thlath-thghrat-mtslsl)
- [हिन्दी](https://www.dataloco.com/hi/shinyhunters-thavara-upayaga-kaya-gaya-oracle-peoplesoft-shanaya-thavasa-thashha-vasatava-ma-tana-jaugdha-hae-thashha-tha)
- [Español](https://www.dataloco.com/es/la-vulnerabilidad-critica-de-oracle-peoplesoft-explotada-por-shinyhunters-es-en-realidad-tres-fallos-encadenados)
- [Nederlands](https://www.dataloco.com/nl/shinyhunters-maakte-gebruik-van-drie-gekoppelde-kwetsbaarheden-in-oracle-peoplesoft)
- [Svenska](https://www.dataloco.com/sv/shinyhunters-utnyttjade-tre-sammanlankade-sarbarheter-i-oracle-peoplesoft)
- [Türkçe](https://www.dataloco.com/tr/shinyhunters-tarafindan-istismar-edilen-oracle-peoplesoft-sifir-gun-aciginin-uc-zincirleme-kusur-oldugu-ortaya-cikti)