Критическая уязвимость Oracle PeopleSoft, которой с мая пользовалась группа UNC6240, известная как ShinyHunters, оказалась цепочкой из трёх отдельных ошибок. Oracle закрыла их одним обновлением безопасности и присвоила общий идентификатор CVE-2026-35273. По данным Zero Day Initiative (ZDI), на описываемой неделе другого идентификатора ещё не было: ZDI работает с Oracle над присвоением каждой уязвимости отдельного CVE.
Bobby Gould из ZDI описал цепочку, которую организация передала Oracle. Она затрагивает два компонента PeopleSoft Enterprise PeopleTools версий 8.61 и 8.62. Оценка по CVSS — 9,8. Удалённый злоумышленник без учётной записи может через сеть выполнить код на сервере. Уязвимость внесена в каталог Known Exploited Vulnerabilities (KEV) Агентства по кибербезопасности и безопасности инфраструктуры США (CISA). Исправление Oracle выпустила 10 июня в экстренном уведомлении о безопасности.
Первым звеном служит Integration Gateway (PSIGW), компонент для обмена сообщениями с внешними системами. Атакующий отправляет запрос через его слушающий коннектор и сам задаёт как адрес назначения, так и содержимое запроса. Обработчик не проверяет, допустим ли указанный адрес. Эта ошибка класса SSRF — подделка запросов на стороне сервера — позволяет использовать PeopleSoft-сервер для обращения к другим службам.
Второе звено — Environment Management Hub (PSEMHUB), административный интерфейс, который должен принимать запросы только от доверенных узлов. Список таких узлов хранится в файле
После этого, по описанию ZDI, есть два пути к выполнению кода. Первый — воспользоваться командой PSEMHUB для записи журналов: вызывающий может задавать и содержимое файла, и точный путь на диске. Так можно поместить веб-шелл в каталог приложения, а затем запускать команды от имени служебной учётной записи PeopleSoft.
Второй путь не требует веб-шелла. Злоумышленник записывает вредоносный XML-файл, который PSEMHUB обрабатывает Java-компонентом XMLDecoder при следующем запуске службы. Это приводит к выполнению кода. ZDI отмечает, что стандартным средствам обнаружения такой способ может оставить меньше заметных следов.
Mandiant и Google Threat Intelligence Group (GTIG) связывают кампанию UNC6240 с периодом с 27 мая по 9 июня; её жертвами в основном становились университеты. Поскольку атаки начались до уведомления Oracle от 10 июня, на момент этой активности уязвимость была «нулевого дня». В сентябрьской волне Mandiant также заметила обход правил межсетевых экранов веб-приложений (WAF), блокировавших путь
По оценке ZDI, опасность настройки по умолчанию в том, что разрешённый доступ с loopback-адреса обесценивает проверку PSEMHUB после появления SSRF. Поэтому одних правил межсетевого экрана может быть недостаточно для защиты административного интерфейса. Oracle и Mandiant рекомендуют установить исправление для CVE-2026-35273 и использовать поддерживаемую версию PeopleTools; Mandiant отдельно предостерегает от подмены установки обновления блокировкой путей на WAF.
Если обновление пока невозможно, Oracle советует в многосерверной конфигурации отключить службу Environment Management Hub, а на одиночном сервере удалить приложение PSEMHUB. Согласно уведомлению Oracle, такие ограничения не нарушают обычные пользовательские сеансы. При подозрении на взлом хост с веб-шеллом следует считать скомпрометированным, сохранить свидетельства проникновения и сменить все учётные данные, доступные с уровня PeopleSoft. Нужно учитывать и риск вымогательства: ShinyHunters похищает данные, а затем требует выкуп.
Остаётся неясным, удаляет ли установка обновления доступ, который злоумышленник мог получить до исправления. В уведомлении Oracle этот вопрос не разбирается. Рекомендации Mandiant искать веб-шеллы и менять пароли исходят из того, что одного обновления может не хватить для удаления уже закрепившегося нарушителя: патч закрывает уязвимость, но сам по себе не выдворяет того, кто успел проникнуть на сервер.
Bobby Gould из ZDI описал цепочку, которую организация передала Oracle. Она затрагивает два компонента PeopleSoft Enterprise PeopleTools версий 8.61 и 8.62. Оценка по CVSS — 9,8. Удалённый злоумышленник без учётной записи может через сеть выполнить код на сервере. Уязвимость внесена в каталог Known Exploited Vulnerabilities (KEV) Агентства по кибербезопасности и безопасности инфраструктуры США (CISA). Исправление Oracle выпустила 10 июня в экстренном уведомлении о безопасности.
Первым звеном служит Integration Gateway (PSIGW), компонент для обмена сообщениями с внешними системами. Атакующий отправляет запрос через его слушающий коннектор и сам задаёт как адрес назначения, так и содержимое запроса. Обработчик не проверяет, допустим ли указанный адрес. Эта ошибка класса SSRF — подделка запросов на стороне сервера — позволяет использовать PeopleSoft-сервер для обращения к другим службам.
Второе звено — Environment Management Hub (PSEMHUB), административный интерфейс, который должен принимать запросы только от доверенных узлов. Список таких узлов хранится в файле
allowedhosts.properties; по умолчанию там есть адрес локального интерфейса 127.0.0.1. Направив SSRF-запрос PSIGW на этот адрес, атакующий заставляет PSEMHUB принять внешний запрос за пришедший с самого сервера. Проверка доверия проходит, и внутренний интерфейс становится доступен извне. После этого, по описанию ZDI, есть два пути к выполнению кода. Первый — воспользоваться командой PSEMHUB для записи журналов: вызывающий может задавать и содержимое файла, и точный путь на диске. Так можно поместить веб-шелл в каталог приложения, а затем запускать команды от имени служебной учётной записи PeopleSoft.
Второй путь не требует веб-шелла. Злоумышленник записывает вредоносный XML-файл, который PSEMHUB обрабатывает Java-компонентом XMLDecoder при следующем запуске службы. Это приводит к выполнению кода. ZDI отмечает, что стандартным средствам обнаружения такой способ может оставить меньше заметных следов.
Mandiant и Google Threat Intelligence Group (GTIG) связывают кампанию UNC6240 с периодом с 27 мая по 9 июня; её жертвами в основном становились университеты. Поскольку атаки начались до уведомления Oracle от 10 июня, на момент этой активности уязвимость была «нулевого дня». В сентябрьской волне Mandiant также заметила обход правил межсетевых экранов веб-приложений (WAF), блокировавших путь
/PSEMHUB/: атакующие запрашивали /%50SEMHUB/, заменяя букву P её URL-кодом %50. WAF мог проверять незакодированный путь, тогда как сервер PeopleSoft декодировал запрос и открывал страницу. По оценке ZDI, опасность настройки по умолчанию в том, что разрешённый доступ с loopback-адреса обесценивает проверку PSEMHUB после появления SSRF. Поэтому одних правил межсетевого экрана может быть недостаточно для защиты административного интерфейса. Oracle и Mandiant рекомендуют установить исправление для CVE-2026-35273 и использовать поддерживаемую версию PeopleTools; Mandiant отдельно предостерегает от подмены установки обновления блокировкой путей на WAF.
Если обновление пока невозможно, Oracle советует в многосерверной конфигурации отключить службу Environment Management Hub, а на одиночном сервере удалить приложение PSEMHUB. Согласно уведомлению Oracle, такие ограничения не нарушают обычные пользовательские сеансы. При подозрении на взлом хост с веб-шеллом следует считать скомпрометированным, сохранить свидетельства проникновения и сменить все учётные данные, доступные с уровня PeopleSoft. Нужно учитывать и риск вымогательства: ShinyHunters похищает данные, а затем требует выкуп.
Остаётся неясным, удаляет ли установка обновления доступ, который злоумышленник мог получить до исправления. В уведомлении Oracle этот вопрос не разбирается. Рекомендации Mandiant искать веб-шеллы и менять пароли исходят из того, что одного обновления может не хватить для удаления уже закрепившегося нарушителя: патч закрывает уязвимость, но сам по себе не выдворяет того, кто успел проникнуть на сервер.
