Атакующие обходят WAF и эксплуатируют уязвимость в Oracle PeopleSoft

Google (через принадлежащую компании Mandiant) сообщает о возобновлении массовой эксплуатации критической уязвимости CVE-2026-35273 (CVSS 9.8) в Oracle PeopleSoft. Кампания, связанная с группировкой ShinyHunters, затрагивает организации по всему миру.

Уязвимость допускает удалённое выполнение кода без аутентификации. Впервые её применяли как zero-day против учебных заведений: злоумышленники вели разведку, устанавливали агент MeshCentral для закрепления, перемещались по сети через SSH, подключаясь к другим внутренним машинам PeopleSoft по известным связкам логин/пароль, и похищали данные. Тогда Mandiant разослала уведомления более чем сотне организаций, чьи IP-адреса совпадали с уязвимыми узлами, — большинство находились в США.

Обход WAF одним символом

Новая волна связана с тем, что группа UNC6240 доработала эксплойт, чтобы обходить правила межсетевых экранов приложений (WAF), блокирующих уязвимую конечную точку Environment Management Hub (PSEMHUB). Приём прост: один символ в пути запроса кодируется в URL — вместо /PSEMHUB/ отправляется /%50SEMHUB/. Многие правила WAF и обратных прокси сверяют путь до URL-декодирования, тогда как сервер приложений PeopleSoft раскодирует запрос и направляет его к уязвимому сервлету.

Атака идёт по знакомой цепочке. POST-запросы с сериализованным Java-объектом на /%50SEMHUB/hub эксплуатируют небезопасную десериализацию в сервлете, обеспечивая бесфайловое выполнение команд. В каталог PSEMHUB.war подбрасываются два JSP-веб-шелла: x.jsp для кроссплатформенного выполнения команд и u.jsp для загрузки файлов по частям. Через u.jsp заливается подписанный троянизированный установщик Ple64.exe, который загружает в память C++-бэкдор SIDEEYE. Тот связывается с внешним сервером по TCP и умеет красть учётные данные из браузеров и приложений, управлять процессами и файлами, поднимать интерактивный обратный шелл и прокси.

Помимо этого использовался инструмент туннелирования Neo-reGeorg, а для закрепления на Linux-системах — легитимный RMM-инструмент MeshAgent. Около четверти команд выполнялись с правами root или NT Authority\SYSTEM.

Что делать

Жертвами стали организации в сферах высшего образования, технологий, ИТ-услуг, здравоохранения, сельского хозяйства, транспорта и госсектора. Рекомендуется установить патч CVE-2026-35273, отключить или удалить PSEMHUB, проверить журналы WebLogic на запросы к /PSEMHUB/ и его кодированным вариантам, осмотреть каталог PSEMHUB.war, сменить учётные данные сервисной учётной записи и следить за исходящим трафиком.

UNC6240 известна вымогательством через кражу данных с угрозой публикации. Тем временем ShinyHunters заявили, что взломали портал FBIJobs.gov и похитили 2–3 ТБ данных — по их словам, не ради выкупа, а чтобы «восстановить справедливость». Портал был взломан через другую zero-day-уязвимость в PeopleSoft.

Источник: The Hacker News