Chuyện gì đã xảy ra
Từ 27/5 đến 9/6/2026, nhóm tội phạm ShinyHunters (Mandiant và Google Threat Intelligence Group theo dõi với tên UNC6240) đã khai thác một lỗ hổng zero-day trong Oracle PeopleSoft, CVE-2026-35273, để xâm nhập hơn 300 phiên bản tại hơn 100 tổ chức. Oracle phát cảnh báo và bản vá khẩn cấp ngày 10/6, khoảng hai tuần sau khi các cuộc tấn công bắt đầu.
Khoảng 68% nạn nhân thuộc giáo dục đại học, nơi PeopleSoft lưu dữ liệu sinh viên, học bổng, bảng lương và nhân sự. Đại học Nottingham xác nhận khoảng 454.600 hồ sơ của sinh viên hiện tại và cựu sinh viên bị lộ, gồm họ tên, địa chỉ, số hộ chiếu và dữ liệu nhạy cảm như dân tộc và khuyết tật.
Bài này nói về chiến dịch ban đầu vào tháng 6. Vào tháng 9, chúng tôi đã đăng bài riêng về việc vượt WAF liên quan đến CVE này.
Lỗ hổng
- CVSS 9,8, không cần xác thực, không cần người dùng tương tác.
- Ảnh hưởng thành phần Environment Management (EMHub) của PeopleTools 8.61 và 8.62.
- Tóm lại: một yêu cầu HTTP được chế tác gửi tới cổng PSIGW sẽ chạm tới servlet quản trị nội bộ (SSRF), kích hoạt giải tuần tự hóa Java không an toàn và cho phép thực thi mã trên máy chủ.
Cách cuộc tấn công diễn ra
Theo Mandiant, kẻ tấn công dựng máy chủ MeshCentral (công cụ truy cập từ xa hợp pháp) làm C2 và cài các agent có tên giả dạng dịch vụ Azure, như meshagent64-azure-ops.exe. Sau đó chúng dùng script *_fanout.sh để thử thông tin đăng nhập SSH trên các máy chủ nội bộ và để lại tệp ghi chú tống tiền. Tiếp theo là tống tiền: trả tiền hoặc dữ liệu bị công bố.
Cần làm gì
- Cài bản vá của Oracle (cảnh báo ngày 10/6, có trong CPU tháng 6) càng sớm càng tốt.
- Nếu chưa thể, tắt EMHub hoặc chặn truy cập từ bên ngoài tới
/PSEMHUB/*và/PSIGW/HttpListeningConnector. - Tìm dấu hiệu xâm nhập: tệp MeshCentral, kết nối ra ngoài bất thường và tệp tống tiền.
- Đổi thông tin đăng nhập và khóa SSH trên máy chủ PeopleSoft.
- Nếu bị rò rỉ, chuẩn bị thông báo theo luật (ví dụ Nghị định 13/2023 về bảo vệ dữ liệu cá nhân tại Việt Nam).
Bài học cho doanh nghiệp
Các thành phần quản trị ERP không nên lộ ra internet. Đặt chúng sau VPN hoặc truy cập có xác minh danh tính (zero trust) đã có thể chặn cuộc tấn công này. Lỗ hổng nghiêm trọng trên hệ thống công khai cũng cần khung vá khẩn cấp từ 24 đến 72 giờ.
Nguồn
- Cloud Security Alliance (2026-06-30): https://labs.cloudsecurityalliance.org/research/csa-research-note-oracle-peoplesoft-zero-day-20260630-csa-st/
- The Register (2026-06-11): "ShinyHunters hacked 100+ orgs by exploiting an Oracle PeopleSoft 0-day"
- Mandiant / Google Threat Intelligence Group: "ShinyHunters Targets Education Sector with Oracle PeopleSoft Exploit"
- NVD CVE-2026-35273: https://nvd.nist.gov/vuln/detail/CVE-2026-35273
Công ty bạn dùng ERP hay hệ thống khác công khai trên internet? KGA IT cung cấp đánh giá mức độ phơi nhiễm miễn phí: kga-it.com.