Google, ShinyHunters’ın veri çalmak için Oracle PeopleSoft sıfırıncı gün açığını kullandığını doğruladı

ShinyHunters adlı hacker grubu, Oracle ↗ 1.20% PeopleSoft'taki kritik bir sıfırıncı gün açığını kullanarak Mayıs sonu ile Haziran başı arasında 100'den fazla kuruluşa sızdı. Oracle acil durum uyarısı yayınlamadan önce gerçekleşen bu saldırı kampanyasında, özellikle üniversiteler hedef alınarak yüz binlerce öğrenci kaydı ele geçirildi.

Açık ve Kampanya

Oracle, 10 Haziran'da PeopleSoft Enterprise PeopleTools 8.61 ve 8.62 sürümlerinde bulunan ve 9.8 CVSS puanına sahip uzaktan kod yürütme (RCE) açığı CVE-2026-35273 için sıra dışı bir güvenlik uyarısı yayınladı. "Updates Environment Management" bileşeninde yer alan bu açık, sistemin tam kontrolünü ele geçirmek için herhangi bir kimlik doğrulama veya kullanıcı etkileşimi gerektirmiyor; sadece HTTP üzerinden ağ erişimi yeterli oluyor.fieldeffect+3

Mandiant ve Google'ın Tehdit İstihbaratı Grubu, şirket içinde UNC6240 olarak izlenen ShinyHunters'ın bu açığı 27 Mayıs ile 9 Haziran arasında kullandığını doğruladı. Google, sistemleri savunmasız olan 100'den fazla kuruluşu bilgilendirdi; bunların %68'i yükseköğretim sektöründe ve çoğu Amerika Birleşik Devletleri'nde bulunuyor. ShinyHunters, bulut ve şirket içi ortamlarda yaklaşık 300 PeopleSoft örneğini hedeflediğini iddia ediyor.thehackernews+2

Mandiant CTO'su Charles Carmakal saldırıların sahada gerçekleştiğini doğrularken, açığı Oracle'a bildiren Trend Micro'nun Zero Day Initiative birimi, SecurityWeek'e yaptığı açıklamada "şu anda sınırlı bir istismar görüldüğünü" ve soruşturmanın devam ettiğini belirtti.securityweek+1

Nottingham Üniversitesi Mağdurlar Arasında

Nottingham Üniversitesi, saldırıya uğrayanlar arasında olduğunu doğruladı. Bir sözcü The Register'a yaptığı açıklamada, "Nottingham Üniversitesi bir siber olayın kurbanı oldu ve öğrenci kayıt sistemimizdeki önemli miktarda veriye tanınmış bir siber suç grubu tarafından erişildi" dedi.theregister

ShinyHunters, fatura kayıtları, kredi kartı bilgileri ve öğrenci finansal bilgileri dahil olmak üzere yaklaşık 40 GB veri çaldığını iddia etti. İhlal bildirim servisi Have I Been Pwned, sızdırılan veri setini veritabanına ekleyerek; isimler, adresler, telefon numaraları, etnik kökenler, engellilik durumları ve pasaport numaralarıyla birlikte yaklaşık 454.600 benzersiz e-posta adresinin açığa çıktığını bildirdi.haveibeenpwned+1

Tam Yama Olmadan Alınacak Önlemler

Oracle henüz tam bir yama yayınlamadı. Şirketin rehberliği, çok sunuculu kurulumlarda "Environment Management Hub" hizmetinin devre dışı bırakılmasına veya tek sunuculu dağıtımlarda PSEMHUB uygulamasının kaldırılmasına odaklanıyor. Bunu yapamayan kuruluşların, çevre güvenliği katmanında /PSEMHUB/* ve /PSIGW/HttpListeningConnector uç noktalarına dış erişimi engellemeleri gerekiyor. Mandiant, web uygulaması güvenlik duvarı (WAF) kurallarının tek başına yeterli olmadığını, çünkü bunların atlatılabileceğini konusunda uyardı.thehackernews+1

Güvenlik araştırmacıları, etkilenen uç noktalara yönelik dış POST istekleri, web uygulaması dizinlerinde beklenmedik .jsp dosyaları ve PeopleSoft sunucularından 445 numaralı bağlantı noktası üzerinden giden SMB trafiği için günlüklerin derhal incelenmesini tavsiye ediyor.pathlock+1