„Google“ patvirtina, kad „ShinyHunters“ išnaudojo „Oracle PeopleSoft“ nulinės dienos spragą duomenims vogti

„Google“ priklausanti „Mandiant“ patvirtino, kad „ShinyHunters“ nuo gegužės 27 d. iki birželio 9 d. išnaudojo CVE-2026-35273 – kritinę 9,8 balo įvertintą „PeopleSoft“ spragą – kaip nulinės dienos pažeidžiamumą.securityweek+1
Notingamo universitetas patvirtino duomenų nutekėjimą, per kurį buvo atskleista apie 454 600 el. pašto adresų, taip pat pasų numeriai, finansiniai duomenys ir kiti asmeniniai įrašai.theregister+1
„Oracle“ išleido apsaugos priemones, bet ne pilną pataisą, ir primygtinai ragina organizacijas nedelsiant išjungti arba užblokuoti pažeidžiamus „PeopleSoft“ galinius taškus.securityweek+1

Įsilaužėlių grupė „ShinyHunters“ išnaudojo kritinę nulinės dienos spragą „Oracle“ „PeopleSoft“ sistemoje, kad nuo gegužės pabaigos iki birželio pradžios įsilaužtų į daugiau nei 100 organizacijų. Didžiausią smūgį patyrė universitetai, kurių šimtai tūkstančių studentų įrašų buvo paviešinti dar prieš „Oracle“ išleidžiant skubų įspėjimą.

Pažeidžiamumas ir kampanija

Birželio 10 d. „Oracle“ išleido neeilinį saugumo įspėjimą dėl CVE-2026-35273 – nuotolinio kodo vykdymo spragos „PeopleSoft Enterprise PeopleTools“ 8.61 ir 8.62 versijose, kurios CVSS balas siekia 9,8. Ši spraga, esanti „Updates Environment Management“ komponente, nereikalauja autentifikavimo ar vartotojo sąveikos – tik tinklo prieigos per HTTP – kad būtų galima visiškai perimti sistemos valdymą.fieldeffect+3

„Mandiant“ ir „Google“ grėsmių žvalgybos grupė patvirtino, kad „ShinyHunters“, viduje žinoma kaip UNC6240, spragą išnaudojo nuo gegužės 27 d. iki birželio 9 d. „Google“ informavo daugiau nei 100 organizacijų, kurių sistemos atitiko pažeidžiamus galinius taškus; 68 % jų priklauso aukštojo mokslo sektoriui, daugiausia Jungtinėse Valstijose. „ShinyHunters“ teigia nusitaikiusi į maždaug 300 „PeopleSoft“ egzempliorių debesijos ir vietinėse aplinkose.thehackernews+2

„Mandiant“ CTO Charlesas Carmakalas patvirtino, kad spraga buvo išnaudojama realioje aplinkoje, o „Trend Micro“ iniciatyva „Zero Day Initiative“, kuriai „Oracle“ dėkoja už pranešimą apie spragą, „SecurityWeek“ nurodė, kad šiuo metu stebi ribotą išnaudojimą ir atlieka tyrimą.securityweek+1

Notingamo universitetas tarp aukų

Notingamo universitetas patvirtino, kad pateko tarp nukentėjusiųjų. „Notingamo universitetas tapo kibernetinio incidento auka, o gerai žinoma kibernetinių nusikaltėlių grupė pasiekė didelį kiekį duomenų mūsų studentų įrašų sistemoje“, – „The Register“ sakė atstovas spaudai.theregister

„ShinyHunters“ teigia pavogusi apie 40 GB duomenų, įskaitant sąskaitų faktūrų įrašus, kredito kortelių duomenis ir studentų finansinę informaciją. Pažeidimų pranešimų tarnyba „Have I Been Pwned“ įtraukė nutekintą duomenų rinkinį į savo duomenų bazę, pranešdama apie maždaug 454 600 unikalių el. pašto adresų, kartu su vardais, adresais, telefono numeriais, tautybėmis, negalia ir pasų numeriais.haveibeenpwned+1

Apsaugos priemonės be pilnos pataisos

„Oracle“ neišleido pilnos pataisos. Jos rekomendacijos orientuotos į „Environment Management Hub“ paslaugos išjungimą kelių serverių sąrankose arba PSEMHUB programos pašalinimą vieno serverio diegimuose. Organizacijos, kurios to padaryti negali, turėtų užblokuoti išorinę prieigą prie /PSEMHUB/* ir /PSIGW/HttpListeningConnector galinių taškų perimetro lygiu. „Mandiant“ įspėjo, kad vien tik žiniatinklio programų ugniasienės taisyklių nepakanka, nes jas galima apeiti.thehackernews+1

Saugumo tyrėjai pataria nedelsiant peržiūrėti žurnalus ieškant išorinių POST užklausų į paveiktus galinius taškus, netikėtų .jsp failų žiniatinklio programų kataloguose ir išeinančio SMB srauto 445 prievadu iš „PeopleSoft“ pagrindinių kompiuterių.pathlock+1

Šaltiniai (14)