PeopleSoft CVE-2026-35273: né WAF và cáo buộc của ShinyHunters về FBI

Điều đã được xác nhận

Ngày 25/9/2026, Google Threat Intelligence và Mandiant báo cáo làn sóng khai thác hàng loạt mới đối với CVE-2026-35273, lỗ hổng thực thi mã từ xa không cần xác thực (CVSS 9,8) trong Environment Management Hub (PSEMHUB) của Oracle PeopleSoft.

Diễn biến:

1. Cụm UNC6240 (Google liên kết với ShinyHunters) khai thác dưới dạng zero-day từ 27/5;
2. Oracle phát hành bản vá khẩn ngày 10/6;
3. Tháng 9, làn sóng mới nhắm vào tổ chức chỉ chặn endpoint bằng quy tắc WAF và không vá.

Mẹo: yêu cầu /%50SEMHUB/ thay vì /PSEMHUB/. Quy tắc WAF khớp đường dẫn nguyên văn thất bại, máy chủ PeopleSoft giải mã %50 thành P và tới servlet dễ tổn thương.

Cáo buộc (chưa xác nhận)

Ngày 22/9, ShinyHunters phá trang FBIJobs.gov và tuyên bố lấy 2–3TB dữ liệu. FBI cho biết đang điều tra và chưa xác nhận điểm xâm nhập hay việc dữ liệu bị đánh cắp. Nghiên cứu của Google không nêu FBI là nạn nhân.

Vì sao quan trọng

Quy tắc WAF không phải bản vá. Mọi "giảm thiểu tạm thời" cần hạn hết hạn và kiểm thử liên tục.

Nên làm gì

1. Nếu dùng PeopleSoft: cài bản vá 10/6 và đừng chỉ dựa vào WAF.
2. Tìm trong log các yêu cầu tới /%50SEMHUB/.
3. Coi cáo buộc về FBI là chưa xác nhận.

Nguồn

• Strobes — Biggest data breaches of September 2026 (seções FBI e CVE-2026-35273)