นักวิจัยเผยช่องโหว่ Oracle PeopleSoft ที่ ShinyHunters ใช้โจมตี แท้จริงคือการรวมกันของสามจุดบกพร่อง

กลุ่ม ShinyHunters ได้ใช้ประโยชน์จากช่องโหว่ระดับวิกฤตใน Oracle PeopleSoft ตั้งแต่เดือนพฤษภาคม ซึ่งนักวิจัยที่รายงานเรื่องนี้เปิดเผยในสัปดาห์นี้ว่าไม่ใช่จุดบกพร่องเพียงจุดเดียว แต่เป็นการนำจุดบกพร่องสามจุดมาเชื่อมต่อกัน

Oracle ได้ทำการแก้ไขจุดบกพร่องทั้งสามภายใต้รหัสระบุตัวตนเดียวคือ CVE-2026-35273 ในเดือนมิถุนายน โดยมีต้นตอมาจากการปลอมแปลงคำขอจากฝั่งเซิร์ฟเวอร์ หรือ SSRF ที่สามารถเข้าถึงส่วนต่อประสานการจัดการภายในได้ เนื่องจาก PeopleSoft เชื่อถือที่อยู่ลูปแบ็กของตนเองโดยค่าเริ่มต้น ซึ่งเปิดโอกาสให้มีการรันรหัสจากระยะไกลได้โดยไม่ต้องเข้าสู่ระบบ

ช่องโหว่นี้ส่งผลกระทบต่อ PeopleSoft Enterprise PeopleTools เวอร์ชัน 8.61 และ 8.62 โดยมีคะแนน CVSS อยู่ที่ 9.8 ซึ่งช่วยให้ผู้โจมตีที่ไม่ผ่านการพิสูจน์ตัวตนสามารถเข้าควบคุมเซิร์ฟเวอร์ผ่านเครือข่ายได้ โดย Oracle ได้ออกประกาศเตือนความปลอดภัยแบบเร่งด่วนเมื่อวันที่ 10 มิถุนายน และช่องโหว่นี้ถูกบรรจุอยู่ในรายการช่องโหว่ที่ถูกใช้โจมตีจริงของ CISA

กลุ่มผู้โจมตีที่รู้จักกันในชื่อ UNC6240 หรือ ShinyHunters ได้ใช้ประโยชน์จากช่องโหว่นี้ระหว่างวันที่ 27 พฤษภาคม ถึง 9 มิถุนายน โดยเน้นโจมตีมหาวิทยาลัยเป็นหลัก ซึ่งถือเป็นช่องโหว่แบบซีโรเดย์เนื่องจากเกิดขึ้นก่อนการประกาศของ Oracle ต่อมาในเดือนกันยายนมีการตรวจพบการโจมตีระลอกใหม่ที่ขยายวงกว้างไปยังภาคเทคโนโลยี บริการไอที สาธารณสุข เกษตรกรรม การขนส่ง และรัฐบาล ซึ่งส่งผลกระทบต่อระบบจำนวนมากทั่วโลก

การวิเคราะห์จาก Zero Day Initiative ระบุว่ามีส่วนประกอบสองส่วนที่เกี่ยวข้อง คือ Integration Gateway ซึ่งใช้แลกเปลี่ยนข้อความกับระบบภายนอก และ Environment Management Hub ซึ่งเป็นส่วนต่อประสานผู้ดูแลระบบภายใน โดยผู้โจมตีใช้ SSRF ในส่วนแรกเพื่อส่งคำขอไปยังที่อยู่ 127.0.0.1 ทำให้ผ่านการตรวจสอบความเชื่อถือและเข้าถึงส่วนจัดการภายในได้ จากนั้นจึงใช้วิธีเขียนเว็บเชลล์ลงในไดเรกทอรีแอปพลิเคชัน หรือเขียนไฟล์ XML ที่เป็นอันตรายเพื่อให้รันรหัสเมื่อบริการเริ่มต้นทำงานใหม่