Apa yang berlaku
Antara 27 Mei dan 9 Jun 2026, kumpulan penjenayah ShinyHunters (dijejaki Mandiant dan Google Threat Intelligence Group sebagai UNC6240) mengeksploitasi zero-day dalam Oracle PeopleSoft, CVE-2026-35273, untuk menceroboh lebih 300 instans di lebih 100 organisasi. Oracle mengeluarkan amaran dan tampalan kecemasan pada 10 Jun, kira-kira dua minggu selepas serangan bermula.
Kira-kira 68% mangsa dari sektor pengajian tinggi, di mana PeopleSoft menyimpan data pelajar, bantuan kewangan, gaji dan HR. Universiti Nottingham mengesahkan pendedahan kira-kira 454,600 rekod pelajar semasa dan bekas, termasuk nama, alamat, nombor pasport dan data sensitif seperti etnik dan kecacatan.
Artikel ini meliputi kempen asal Jun. Pada September kami menerbitkan artikel berasingan tentang pintasan WAF berkaitan CVE ini.
Kelemahan
- CVSS 9.8, tanpa pengesahan dan tanpa interaksi pengguna.
- Menjejaskan komponen Environment Management (EMHub) dalam PeopleTools 8.61 dan 8.62.
- Ringkasnya: permintaan HTTP yang dimanipulasi ke gerbang PSIGW sampai ke servlet pentadbiran dalaman (SSRF), mencetuskan penyahserian Java yang tidak selamat dan membolehkan pelaksanaan kod pada pelayan.
Cara serangan berlaku
Menurut Mandiant, penyerang menyediakan pelayan MeshCentral (alat akses jauh yang sah) sebagai C2 dan memasang ejen bernama seperti perkhidmatan Azure, contohnya meshagent64-azure-ops.exe. Mereka kemudian menggunakan skrip *_fanout.sh untuk mencuba kelayakan SSH pada pelayan dalaman dan meninggalkan fail nota tebusan. Seterusnya ugutan: bayar atau data diterbitkan.
Apa yang perlu dilakukan
- Pasang tampalan Oracle (amaran 10 Jun, termasuk dalam CPU Jun) secepat mungkin.
- Jika belum boleh, nyahaktifkan EMHub atau sekat akses luar ke
/PSEMHUB/*dan/PSIGW/HttpListeningConnector. - Cari tanda pencerobohan: binari MeshCentral, sambungan keluar yang pelik dan fail tebusan.
- Tukar kelayakan dan kunci SSH pada pelayan PeopleSoft.
- Jika data bocor, sediakan pemberitahuan undang-undang (contohnya PDPA di Malaysia).
Pengajaran untuk syarikat
Komponen pentadbiran ERP tidak sepatutnya terdedah ke internet. Meletakkannya di belakang VPN atau akses berasaskan pengesahan identiti (zero trust) akan menyekat serangan ini. Kelemahan kritikal pada sistem terdedah juga memerlukan tetingkap tampalan kecemasan 24 hingga 72 jam.
Sumber
- Cloud Security Alliance (2026-06-30): https://labs.cloudsecurityalliance.org/research/csa-research-note-oracle-peoplesoft-zero-day-20260630-csa-st/
- The Register (2026-06-11): "ShinyHunters hacked 100+ orgs by exploiting an Oracle PeopleSoft 0-day"
- Mandiant / Google Threat Intelligence Group: "ShinyHunters Targets Education Sector with Oracle PeopleSoft Exploit"
- NVD CVE-2026-35273: https://nvd.nist.gov/vuln/detail/CVE-2026-35273
Syarikat anda menggunakan ERP atau sistem lain yang terdedah ke internet? KGA IT menawarkan semakan pendedahan percuma: kga-it.com.