FBI gỡ contractor của Accenture sau sự cố vá lỗi dẫn đến rò rỉ dữ liệu
"The FBI said it removed an Accenture contractor after a security patch was not implemented on a third-party managed platform, which Reuters linked to an Oracle PeopleSoft environment used in a breach of the FBI job portal. Google-owned Mandiant said ShinyHunters exploited a bypass for CVE-2026-35273 using URL encoding to evade a WAF rule protecting the vulnerable PSEMHUB endpoint, leading to theft of personal data from thousands of FBI employees."
Ảnh hưởng cao do rò rỉ dữ liệu cá nhân, cho thấy lỗ hổng trong quy trình vá lỗi và khả năng vượt qua WAF bằng kỹ thuật mã hóa URL.
Tác động đáng kể đến uy tín tổ chức, quản trị nhà cung cấp và chi phí xử lý sự cố; các hệ thống nhân sự/tuyển dụng có thể cần rà soát và khắc phục khẩn cấp.
FBI cho biết đã loại bỏ một contractor của Accenture sau khi một bản vá bảo mật không được triển khai trên một nền tảng do bên thứ ba quản lý, dẫn tới vụ xâm nhập liên quan đến ShinyHunters và làm lộ dữ liệu cá nhân của hàng nghìn nhân viên. Theo Reuters, nền tảng bị ảnh hưởng được cho là Oracle PeopleSoft, liên quan đến cổng tuyển dụng của FBI.
Mandiant, thuộc Google, đánh giá nhóm tấn công đã khai thác một bypass của CVE-2026-35273 bằng kỹ thuật URL encoding để vượt qua quy tắc WAF bảo vệ endpoint PSEMHUB dễ bị tổn thương. FBI cho biết đã thực hiện các bước để giảm thiểu rủi ro và bảo vệ lực lượng lao động của mình.
Sự việc cho thấy rủi ro từ quản trị bản vá và chuỗi cung ứng dịch vụ bên thứ ba trong các hệ thống nhạy cảm. Các tổ chức nên rà soát việc áp dụng bản vá, kiểm tra cấu hình WAF, xác minh các endpoint bị phơi bày và tăng giám sát với các nền tảng quản lý bởi nhà cung cấp. Với môi trường có dữ liệu nhân sự hoặc tuyển dụng, cần ưu tiên kiểm soát truy cập, ghi log tập trung và đánh giá định kỳ các thành phần do đối tác vận hành.