已确认的事实
2026年9月25日,Google威胁情报和Mandiant报告,CVE-2026-35273 正被大规模再次利用。这是Oracle PeopleSoft Environment Management Hub(PSEMHUB)中的一个 无需认证 的远程代码执行漏洞(CVSS 9.8)。
时间线:
- 谷歌关联到 ShinyHunters 的集群 UNC6240 自 5月27日 起将其作为零日利用;
- Oracle于 6月10日 发布紧急补丁;
- 9月的新一轮攻击针对 用WAF规则挡住端点却从未打补丁 的组织。
手法:请求 /%50SEMHUB/ 而不是 /PSEMHUB/。匹配字面路径的WAF规则会失效,PeopleSoft服务器把 %50 解码回 P 后到达脆弱servlet。
说法(尚未证实)
9月22日,ShinyHunters篡改了 FBIJobs.gov 的一个页面,声称窃取了2到3TB数据,并称使用了同一漏洞(以及另一个未知漏洞)。FBI 表示正在调查未授权活动,尚未确认 入侵点或数据被盗。谷歌的研究 没有点名FBI为受害者。
为什么重要
WAF规则不是补丁。"临时缓解"必须有截止日期和持续验证。
现在该做什么
- 若使用PeopleSoft:安装6月10日补丁,不要只依赖WAF。
- 在日志中搜索对
/%50SEMHUB/的请求。 - 在FBI自行确认前,将其说法视为 未证实。