ShinyHunters Tarafından İstismar Edilen Oracle PeopleSoft Sıfır Gün Açığının Üç Zincirleme Kusur Olduğu Ortaya Çıktı

a computer screen with a bunch of code on it — Chris Ried / Unsplash

ShinyHunters grubunun Mayıs ayından beri istismar ettiği kritik Oracle PeopleSoft hatasının, tek bir kusur değil, birbirine zincirlenmiş üç farklı kusur olduğu, hatayı bildiren araştırmacılar tarafından bu hafta açıklandı.

Oracle, bu üç kusurun tamamını Haziran ayında CVE-2026-35273 numaralı tek bir tanımlayıcı altında yamaladı. Sorunun kökeni, PeopleSoft'un varsayılan olarak kendi geri döngü adresine güvendiği için dahili bir yönetim arayüzüne ulaşan sunucu tarafı istek sahteciliği olarak tanımlandı. Bu durum, giriş yapmadan uzaktan kod yürütülmesinin önünü açtı.

Zero Day Initiative tarafından yapılan analizde, iki PeopleSoft bileşeninde üç ayrı güvenlik açığı olduğu bildirildi. Araştırmacılar, her birine ayrı bir tanımlayıcı atanması için Oracle ile çalışıyor ancak şu an için kayıtlarda yalnızca Haziran ayındaki tek tanımlayıcı bulunuyor. CVE-2026-35273 numaralı açık, PeopleSoft Enterprise PeopleTools 8.61 ve 8.62 sürümlerini etkiliyor ve 9.8 CVSS puanına sahip. Bu açık, kimliği doğrulanmamış bir saldırganın ağ üzerinden sunucuyu ele geçirmesine olanak tanıyor. Oracle, düzeltmeyi 10 Haziran'da yayınladı ve söz konusu açık CISA'nın Bilinen İstismar Edilen Güvenlik Açıkları kataloğuna eklendi.

Saldırganların, düzeltme yayınlanmadan önce bu açığı kullandığı belirlendi. Mandiant ve Google Threat Intelligence Group, ShinyHunters olarak bilinen UNC6240 grubunun, özellikle üniversiteleri hedef alarak 27 Mayıs ile 9 Haziran tarihleri arasında bu açığı istismar ettiğini bildirdi. Faaliyetler Oracle'ın duyurusundan önce gerçekleştiği için durum bir sıfır gün açığı olarak değerlendirildi. Eylül ayında yapılan takipte, saldırıların eğitim sektörünün ötesine geçerek teknoloji, bilişim hizmetleri, sağlık, tarım, ulaşım ve hükümet kurumlarını etkileyen daha geniş bir dalgaya dönüştüğü ve dünya çapında onlarca sistemi etkilediği rapor edildi.

Teknik analiz, Integration Gateway bileşenindeki sunucu tarafı istek sahteciliğinin, Environment Management Hub adlı dahili yönetim arayüzüne erişim sağladığını gösteriyor. Saldırganlar, bu erişimi kod yürütmeye dönüştürmek için iki yöntem kullanabiliyor. Birinci yöntem, günlük kayıtları yazmak için kullanılan bir komutu kötüye kullanarak uygulama dizinine bir web kabuğu yerleştiriyor. İkinci yöntem ise, servis yeniden başladığında Java'nın XMLDecoder bileşeni tarafından okunan kötü amaçlı bir XML dosyası yazarak web kabuğuna gerek kalmadan kod çalıştırıyor.

Eylül ayındaki saldırı dalgasında ShinyHunters'ın, tek bir karakteri URL kodlamasıyla değiştirerek web uygulama güvenlik duvarı kurallarını atlattığı tespit edildi. Oracle'ın yaması kapıyı kapatsa da, Mandiant'ın kimlik bilgilerinin değiştirilmesi ve web kabuklarının aranması yönündeki tavsiyeleri, yamanın halihazırda içeri sızmış saldırganları sistemden çıkarmadığını varsayıyor.