发生了什么
2026年5月27日至6月9日，犯罪团伙ShinyHunters（Mandiant和Google威胁情报小组追踪代号UNC6240）利用Oracle PeopleSoft的零日漏洞CVE-2026-35273，入侵了100多个组织的300多个实例。Oracle在攻击开始约两周后，于6月10日发布紧急补丁和安全警报。
约68%的受害者来自高等教育机构，PeopleSoft中存有学生、助学金、薪资和人事数据。诺丁汉大学确认约45.46万条在校生和校友记录遭泄露，包括姓名、地址、护照号码以及种族、残障等敏感信息。
本文介绍6月的原始攻击活动。9月我们另发了一篇关于该CVE相关WAF绕过的文章。
漏洞概况
- CVSS 9.8，无需认证，无需用户交互。
- 影响PeopleTools 8.61和8.62的**Environment Management（EMHub）**组件。
- 简言之：向PSIGW网关发送构造的HTTP请求，可到达内部管理Servlet（SSRF），触发不安全的Java反序列化，从而在服务器上执行代码。
攻击手法
据Mandiant介绍，攻击者搭建了MeshCentral（合法远程管理工具）服务器作为C2，并安装了伪装成Azure服务名称的代理程序，如meshagent64-azure-ops.exe。随后用*_fanout.sh脚本在内部服务器上尝试SSH凭据，并留下勒索说明文件。接着便是勒索："付钱，否则公开数据"。
应对措施
- 尽快安装Oracle补丁（6月10日警报，已纳入6月CPU）。
- 若暂时无法打补丁，禁用EMHub或阻止外部访问
/PSEMHUB/*和/PSIGW/HttpListeningConnector。 - 排查入侵迹象：MeshCentral程序、异常外连和勒索文件。
- 更换PeopleSoft服务器上的凭据和SSH密钥。
- 如发生泄露，准备法定通报（如欧洲GDPR要求72小时内上报）。
给企业的教训
ERP的管理组件不应暴露在互联网上。若将其置于VPN或身份验证访问（零信任）之后，本可阻止此次攻击。此外，暴露系统中的严重漏洞需要24至72小时的紧急修补窗口。
来源
- Cloud Security Alliance (2026-06-30): https://labs.cloudsecurityalliance.org/research/csa-research-note-oracle-peoplesoft-zero-day-20260630-csa-st/
- The Register (2026-06-11): "ShinyHunters hacked 100+ orgs by exploiting an Oracle PeopleSoft 0-day"
- Mandiant / Google Threat Intelligence Group: "ShinyHunters Targets Education Sector with Oracle PeopleSoft Exploit"
- NVD CVE-2026-35273: https://nvd.nist.gov/vuln/detail/CVE-2026-35273
贵公司是否在运行ERP或面向互联网的系统？KGA IT提供免费的暴露面评估：kga-it.com