Ano ang nangyari
Mula Mayo 27 hanggang Hunyo 9, 2026, sinamantala ng kriminal na grupong ShinyHunters (sinusubaybayan ng Mandiant at Google Threat Intelligence Group bilang UNC6240) ang isang zero-day sa Oracle PeopleSoft, ang CVE-2026-35273, para mapasok ang mahigit 300 instance sa 100+ organisasyon. Naglabas ang Oracle ng alerto at emergency patch noong Hunyo 10, mga dalawang linggo matapos magsimula ang mga atake.
Mga 68% ng biktima ay mula sa higher education, kung saan nakaimbak sa PeopleSoft ang data ng estudyante, financial aid, payroll at HR. Kinumpirma ng University of Nottingham ang pagkalantad ng mga 454,600 record ng kasalukuyan at dating estudyante, kasama ang pangalan, address, numero ng pasaporte at sensitibong data gaya ng etnisidad at kapansanan.
Tinatalakay ng post na ito ang orihinal na kampanya noong Hunyo. Noong Setyembre, naglathala kami ng hiwalay na artikulo tungkol sa WAF bypass na kaugnay ng CVE na ito.
Ang butas
- CVSS 9.8, walang authentication at walang interaksyon ng user.
- Apektado ang Environment Management (EMHub) ng PeopleTools 8.61 at 8.62.
- Sa madaling salita: isang binagong HTTP request sa PSIGW gateway ang umaabot sa internal na admin servlet (SSRF), na nagdudulot ng hindi ligtas na Java deserialization at nagpapahintulot ng pagpapatakbo ng code sa server.
Paano gumana ang atake
Ayon sa Mandiant, nag-set up ang mga umaatake ng MeshCentral server (lehitimong remote access tool) bilang command and control at nag-install ng mga agent na ginagaya ang pangalan ng Azure services, gaya ng meshagent64-azure-ops.exe. Gumamit sila ng *_fanout.sh script para subukan ang SSH credentials sa ibang internal server at nag-iwan ng ransom note file. Kasunod ang pangingikil: magbayad o ilalathala ang data.
Ano ang dapat gawin
- I-apply ang patch ng Oracle (alerto noong Hunyo 10, kasama sa June CPU) sa lalong madaling panahon.
- Kung hindi pa kaya, i-disable ang EMHub o harangan ang external access sa
/PSEMHUB/*at/PSIGW/HttpListeningConnector. - Maghanap ng senyales ng pagpasok: MeshCentral binaries, kakaibang outbound connection at ang ransom file.
- Palitan ang credentials at SSH keys sa mga PeopleSoft server.
- Kung may na-leak, ihanda ang legal na abiso (hal. Data Privacy Act sa Pilipinas).
Aral para sa mga negosyo
Ang admin components ng ERP ay hindi dapat nakalantad sa internet. Kung nasa likod ito ng VPN o identity-verified access (zero trust), naharang sana ang atakeng ito. At ang kritikal na butas sa nakalantad na system ay nangangailangan ng emergency patch window na 24 hanggang 72 oras.
Mga pinagmulan
- Cloud Security Alliance (2026-06-30): https://labs.cloudsecurityalliance.org/research/csa-research-note-oracle-peoplesoft-zero-day-20260630-csa-st/
- The Register (2026-06-11): "ShinyHunters hacked 100+ orgs by exploiting an Oracle PeopleSoft 0-day"
- Mandiant / Google Threat Intelligence Group: "ShinyHunters Targets Education Sector with Oracle PeopleSoft Exploit"
- NVD CVE-2026-35273: https://nvd.nist.gov/vuln/detail/CVE-2026-35273
Gumagamit ba ang kumpanya mo ng ERP o iba pang system na nakalantad sa internet? Nag-aalok ang KGA IT ng libreng exposure review: kga-it.com.