Khai thác Oracle PeopleSoft qua lỗ hổng CVE-2026-35273
"Google reported renewed mass exploitation of Oracle PeopleSoft via CVE-2026-35273, a critical unauthenticated RCE flaw with a CVSS score of 9.8. Attackers modified their exploit to bypass WAF rules using URL-encoded requests to the PSEMHUB endpoint, then used Java deserialization to deploy JSP web shells, upload a trojanized installer, and establish persistence and credential theft; remediation includes patching, disabling or removing EMHub/PSEMHUB, and hunting for malicious artifacts and outbound activity."
Tác động rất cao do RCE không cần xác thực, khả năng vượt WAF và triển khai web shell/backdoor; nguy cơ mất dữ liệu và duy trì truy cập lâu dài.
Có thể gây gián đoạn PeopleSoft, rủi ro rò rỉ dữ liệu nhân sự/tài chính, và phát sinh chi phí ứng cứu sự cố, khôi phục hệ thống và xử lý tuân thủ.
Google cảnh báo về làn sóng khai thác mới nhắm vào Oracle PeopleSoft thông qua CVE-2026-35273, một lỗ hổng RCE không cần xác thực có CVSS 9.8. Theo Mandiant, nhóm tấn công đã chỉnh sửa chuỗi khai thác để vượt qua WAF bằng cách dùng yêu cầu được mã hóa URL tới endpoint PSEMHUB (ví dụ /%50SEMHUB/ thay cho /PSEMHUB/), sau đó lợi dụng Java deserialization để triển khai web shell JSP, tải bộ cài đã bị cài mã độc và duy trì hiện diện trên hệ thống.
Hoạt động này được ghi nhận trên nhiều lĩnh vực, gồm giáo dục, công nghệ, dịch vụ CNTT, y tế, nông nghiệp, vận tải và chính phủ. Một số hệ thống bị cài MeshAgent, Neo-reGeorg và thành phần backdoor SIDEEYE để hỗ trợ truy cập từ xa, chuyển tiếp kết nối và đánh cắp thông tin xác thực.
Khuyến nghị ưu tiên gồm: vá CVE-2026-35273, tắt hoặc gỡ EMHub/PSEMHUB nếu không cần dùng, rà soát log WebLogic cho các yêu cầu tới /PSEMHUB/ và biến thể mã hóa, kiểm tra thư mục PSEMHUB.war để tìm web shell JSP, xoay vòng credential có thể bị lộ, và giám sát lưu lượng outbound từ máy chủ PeopleSoft. Đồng thời cần tìm dấu hiệu trích xuất dữ liệu hàng loạt và chuẩn bị phương án ứng phó nếu xuất hiện yêu cầu tống tiền.