安全 · 2026年10月31日
ShinyHunters利用的Oracle PeopleSoft零日漏洞被证实为三个链式缺陷
ShinyHunters利用的Oracle PeopleSoft关键漏洞并非单一缺陷，而是由三个链式缺陷组成，报告该漏洞的研究人员本周表示。
Oracle在六月使用单一标识符CVE-2026-35273对这三个缺陷进行了修复。该漏洞的根源在于服务器端请求伪造，由于PeopleSoft默认信任其自身的环回地址，导致攻击者能够访问内部管理接口，从而在无需登录的情况下实现远程代码执行。
Zero Day Initiative分析指出，该漏洞涉及两个PeopleSoft组件，分别是与外部系统交换消息的Integration Gateway以及仅应响应信任主机的内部管理接口Environment Management Hub。第一个缺陷是Integration Gateway中的服务器端请求伪造，攻击者可通过其监听连接器控制转发地址和有效载荷。由于Environment Management Hub的允许主机列表中包含本地环回地址，攻击者可将请求指向该地址以绕过信任检查。
一旦获得访问权限，攻击者有两种方式执行代码：一种是滥用Environment Management Hub写入日志条目的命令，将Web shell写入应用程序目录；另一种是写入恶意XML文件，在服务启动时通过Java的XMLDecoder运行代码。
该漏洞影响PeopleSoft Enterprise PeopleTools 8.61和8.62版本，CVSS评分为9.8，允许未经身份验证的攻击者通过网络接管服务器。Oracle于6月10日发布了紧急安全警报。由于ShinyHunters在5月27日至6月9日期间已利用该漏洞攻击大学，因此在补丁发布前该漏洞一直处于零日状态。Mandiant报告称，在九月的第二波攻击中，该组织通过对URL字符进行编码绕过了Web应用防火墙，攻击范围扩大至技术、医疗、政府等多个领域。