Apa yang disahkan
Pada 25 September 2026, Google Threat Intelligence dan Mandiant melaporkan gelombang baharu eksploitasi besar CVE-2026-35273, kelemahan pelaksanaan kod jauh tanpa pengesahan (CVSS 9.8) dalam Environment Management Hub (PSEMHUB) Oracle PeopleSoft.
Garis masa:
- Kelompok UNC6240 (yang Google kaitkan dengan ShinyHunters) mengeksploitasinya sebagai zero-day dari 27 Mei;
- Oracle mengeluarkan pembetulan kecemasan pada 10 Jun;
- Pada September gelombang baharu menyasarkan organisasi yang menyekat endpoint dengan peraturan WAF dan tidak pernah menampal.
Helah: minta /%50SEMHUB/ bukan /PSEMHUB/. Peraturan WAF yang padankan laluan literal gagal, dan pelayan PeopleSoft menyahkod %50 semula kepada P.
Apa yang dakwaan (belum disahkan)
Pada 22 September, ShinyHunters merosakkan halaman FBIJobs.gov dan mendakwa mencuri 2–3TB data. FBI sedang menyiasat dan belum mengesahkan titik pencerobohan mahupun kecurian data. Penyelidikan Google tidak menamakan FBI sebagai mangsa.
Mengapa penting
Peraturan WAF bukan tampalan. Sebarang "mitigasi sementara" perlu tarikh luput dan ujian berterusan.
Apa yang perlu dilakukan
- Jika menggunakan PeopleSoft: pasang tampalan 10 Jun dan jangan bergantung pada WAF sahaja.
- Cari log untuk permintaan
/%50SEMHUB/. - Anggap dakwaan FBI sebagai belum disahkan.