Эксплуатируемая ShinyHunters уязвимость Oracle PeopleSoft оказалась цепочкой из трёх отдельных дефектов

Критическая уязвимость CVE-2026-35273 в Oracle PeopleSoft Enterprise PeopleTools версий 8.61 и 8.62, которую группировка ShinyHunters эксплуатировала как zero-day с мая 2026 года, в действительности представляет собой не одну, а три отдельные уязвимости, объединённые в цепочку. Об этом на прошлой неделе сообщила команда Zero Day Initiative (ZDI), которая изначально обнаружила и передала информацию Oracle. Уязвимость имеет оценку CVSS 9.8, позволяет неаутентифицированному атакующему получить удалённое выполнение кода и внесена в каталог CISA Known Exploited Vulnerabilities. Организациям, использующим PeopleSoft, необходимо немедленно установить патч Oracle, выпущенный 10 июня 2026 года, и провести проверку на признаки компрометации — установка патча не устраняет доступ, полученный атакующим ранее. Мы уже писали об этой уязвимости в контексте заявлений ShinyHunters.

Анатомия цепочки: от SSRF до выполнения кода

Oracle закрыла все три дефекта единым идентификатором CVE-2026-35273, однако, по данным ZDI, речь идёт о трёх различных уязвимостях в двух компонентах PeopleSoft. ZDI координирует с Oracle присвоение отдельных CVE каждому дефекту, но на момент публикации единственный идентификатор остаётся единственным в реестре. Это важный нюанс: наличие одного CVE и одного патча не означает наличие одного дефекта, и организациям стоит учитывать это при оценке поверхности атаки.

Задействованы два компонента, работающие как отдельные веб-приложения:

• Integration Gateway (PSIGW) — шлюз для обмена сообщениями с внешними системами;
• Environment Management Hub (PSEMHUB) — внутренний административный интерфейс, предназначенный для доступа только с доверенных хостов.

По данным ZDI, цепочка эксплуатации выглядит следующим образом:

1. SSRF в PSIGW. Атакующий отправляет запрос к обработчику входящих соединений Integration Gateway и контролирует как адрес назначения, так и полное содержимое пересылаемого запроса. Обработчик не проверяет, является ли адрес назначения легитимной целью.
2. Обход проверки доверия через loopback. PSEMHUB определяет доверенных клиентов по списку в файле allowedhosts.properties. По умолчанию этот файл содержит адрес 127.0.0.1. Атакующий направляет SSRF-запрос на loopback-адрес — запрос приходит в PSEMHUB как будто от самого сервера, и проверка доверия проходит успешно. Внутренний интерфейс, который Oracle предполагала изолированным, становится доступен извне.
3. Выполнение кода. ZDI описывает два пути превращения доступа к PSEMHUB в выполнение произвольного кода. Первый — через команду записи логов, где атакующий контролирует и содержимое файла, и путь на диске, что позволяет разместить веб-шелл в каталоге приложения. Второй — через запись вредоносного XML-файла, который PSEMHUB обрабатывает через Java XMLDecoder при следующем запуске сервиса, выполняя код атакующего без размещения веб-шелла.

Второй путь выполнения кода — через XMLDecoder — особенно опасен с точки зрения обнаружения: он не оставляет JSP-файлов, на которые обычно ориентированы правила детектирования. Организации, чей мониторинг ограничен поиском JSP-шеллов, рискуют пропустить компрометацию. Для полноценного обнаружения необходимо сочетать анализ логов доступа с мониторингом процессов, порождаемых Java-процессом WebLogic.

Кампания ShinyHunters: от университетов до госструктур

По данным Mandiant и Google Threat Intelligence Group, активная эксплуатация CVE-2026-35273 наблюдалась с 27 мая по 9 июня 2026 года — до выхода патча Oracle 10 июня, что квалифицирует кампанию как zero-day. Кампания атрибутирована группировке UNC6240, также известной как ShinyHunters. Первоначально атаки были направлены преимущественно на сектор высшего образования: по оценке Mandiant, 68% из более чем 100 уведомлённых организаций относились к университетам.

В сентябре 2026 года Mandiant зафиксировала возобновлённую волну массовой эксплуатации, распространившуюся на секторы технологий, ИТ-услуг, здравоохранения, сельского хозяйства, транспорта и государственного управления. Веб-шеллы были обнаружены на десятках систем по всему миру.

Примечательна техника обхода WAF, применённая ShinyHunters во второй волне: вместо прямого обращения к пути /PSEMHUB/ атакующие использовали URL-кодирование одного символа — /%50SEMHUB/. Большинство правил WAF выполняют сопоставление по открытому тексту пути, тогда как сервер PeopleSoft декодирует путь перед обработкой. Mandiant также отмечает характерный паттерн разведки: от 5 до 15 POST-запросов к закодированному пути перед началом эксплуатации, что может служить индикатором в логах.

Индикаторы компрометации

На основе данных исследования доступны следующие IOC:

• Хеши файлов:48b4a0827da7bbfce9fb52464f8a659dea7a035189c52c506c0bfb4b1c3fe494, 2bee941fb40519d0d1ec52bd79a8f63fc65aac6455c8f2d6b668e3360dfdb5d7
• IP-адреса: 142.11.200.186–190, 5.199.162.157, 104.219.234.138, 162.219.30.165
• Домены: azurenetfiles.net, winmanage-me.network
• C2 URL:wss://azurenetfiles.net:443/agent.ashx (MeshCentral)

Рекомендации

• Установите патч. Примените исправление Oracle для CVE-2026-35273 и убедитесь, что используется поддерживаемая версия PeopleTools. Mandiant прямо указывает, что блокировка путей через WAF не является заменой патчу — техника URL-кодирования это наглядно продемонстрировала.
• Если патч пока невозможен — отключите сервис Environment Management Hub в многосерверных конфигурациях или удалите приложение PSEMHUB в односерверных, как рекомендует Oracle. Это не нарушает работу пользовательских сессий.
• Проведите проверку на компрометацию. Ищите не только JSP-файлы веб-шеллов, но и подозрительные XML-файлы в каталогах PSEMHUB, а также нетипичные дочерние процессы Java-процесса WebLogic. Проверяйте логи на наличие POST-запросов к путям с URL-кодированием (/%50SEMHUB/).
• При обнаружении компрометации — считайте хост полностью скомпрометированным, сохраните улики и ротируйте все учётные данные, доступные с уровня PeopleSoft. ShinyHunters похищает данные и затем требует выкуп, поэтому следует готовиться к попыткам вымогательства.

Ключевой урок этого инцидента — архитектурный: включение loopback-адреса в список доверенных хостов по умолчанию превращает любую SSRF-уязвимость в полный обход контроля доступа к внутренним интерфейсам. Организациям, эксплуатирующим PeopleSoft, недостаточно установить патч — необходимо убедиться, что на затронутых серверах отсутствуют следы уже полученного злоумышленниками доступа, поскольку ни Oracle, ни Mandiant не подтверждают, что патч удаляет ранее установленные механизмы закрепления.