ShinyHunters khai thác zero-day Oracle PeopleSoft (CVE-2026-35273) để xâm nhập trường đại học
"ShinyHunters reportedly exploited a zero-day remote code execution vulnerability in Oracle PeopleSoft Enterprise PeopleTools (CVE-2026-35273) to breach organizations, with universities hit hardest. Oracle later issued guidance to disable or restrict access to the Environment Management Hub/PSEMHUB endpoints and apply the relevant PeopleTools update once available; Mandiant said the flaw was actively exploited in the wild and that WAF body-inspection alone is insufficient."
Nguy cơ cao do RCE không cần đăng nhập cho phép chiếm quyền máy chủ qua HTTP; PSEMHUB là điểm phơi nhiễm chính. Ngoài ra, chuỗi khai thác có thể dẫn tới lộ dữ liệu và di chuyển ngang trong mạng.
Tác động đáng kể đến vận hành và tuân thủ do khả năng truy cập trái phép và rò rỉ dữ liệu; nhóm nạn nhân được báo cáo tập trung ở giáo dục bậc đại học, làm tăng rủi ro gián đoạn dịch vụ và chi phí xử lý sự cố.
Nhóm bị theo dõi là ShinyHunters được cho là đã khai thác zero-day RCE trong Oracle PeopleSoft Enterprise PeopleTools để xâm nhập hệ thống doanh nghiệp, trộm dữ liệu và gây sức ép đòi tiền. Hoạt động này được Mandiant gán cho cụm UNC6240, diễn ra trong giai đoạn 27/5–9/6/2026; Oracle chỉ công bố hướng dẫn vào 10/6, nên lỗ hổng tồn tại như zero-day trong suốt thời gian đó.
Lỗ hổng CVE-2026-35273 là lỗi remote code execution trong PeopleSoft PeopleTools (điểm 9.8/10), không yêu cầu đăng nhập hay tương tác người dùng, chỉ cần truy cập mạng qua HTTP. Nếu Environment Management Hub (PSEMHUB) có thể truy cập từ bên ngoài, bề mặt tấn công sẽ bị mở. Oracle khuyến nghị khóa/giới hạn các endpoint liên quan và áp bản cập nhật PeopleTools khi có.
Theo Mandiant, WAF body-inspection đơn lẻ không đủ vì có thể bị vượt qua. Các dấu hiệu cần rà soát gồm log WebLogic có POST ngoài vào /PSEMHUB/hub hoặc /PSIGW/HttpListeningConnector, tệp lạ trong PSEMHUB.war, thay đổi .xml trong thư mục envmetadata/data/environment, và lưu lượng SMB (445) ra ngoài từ máy PeopleSoft. Trường hợp đa máy, nên disable Environment Management Hub; trường hợp đơn máy, cân nhắc gỡ PSEMHUB hoặc chặn truy cập ngoài vào /PSEMHUB/ và /PSIGW/HttpListeningConnector.