PeopleSoft CVE-2026-35273: WAF bypass at claim ng ShinyHunters tungkol sa FBI

Ano ang kumpirmado

Noong Setyembre 25, 2026, iniulat ng Google Threat Intelligence at Mandiant ang bagong mass-exploitation ng CVE-2026-35273, isang walang authentication na RCE (CVSS 9.8) sa Environment Management Hub (PSEMHUB) ng Oracle PeopleSoft.

Timeline:

1. Ang cluster na UNC6240 (na iniuugnay ng Google sa ShinyHunters) ay inabuso ito bilang zero-day mula Mayo 27;
2. Naglabas ang Oracle ng emergency fix noong Hunyo 10;
3. Noong Setyembre, ang bagong alon ay tumama sa mga organisasyong nag-block sa endpoint gamit ang WAF rule at hindi nag-patch.

Trick: humiling ng /%50SEMHUB/ sa halip na /PSEMHUB/. Nabigo ang WAF rule na tumutugma sa literal na path, at dine-decode ng PeopleSoft ang %50 pabalik sa P.

Ano ang claim (hindi pa kumpirmado)

Noong Setyembre 22, diniface ng ShinyHunters ang isang pahina ng FBIJobs.gov at inangkin ang 2–3TB na ninakaw. Sinabi ng FBI na iniimbestigahan nito ang unauthorized activity at hindi kinumpirma ang punto ng breach o data theft. Ang pananaliksik ng Google ay hindi pinangalanan ang FBI bilang biktima.

Bakit mahalaga

Ang WAF rule ay hindi patch. Anumang "temporary mitigation" ay kailangan ng expiry date at tuluy-tuloy na pagsusuri.

Ano ang gagawin

1. Kung may PeopleSoft: i-apply ang patch noong Hunyo 10 at huwag umasa sa WAF lang.
2. Hanapin sa log ang mga request sa /%50SEMHUB/.
3. Ituring na hindi kumpirmado ang mga claim tungkol sa FBI.

Mga Pinagmulan

• Strobes — Biggest data breaches of September 2026 (seções FBI e CVE-2026-35273)