פרצת יום אפס ב-Oracle PeopleSoft: Mandiant מייחסת אותה ל-ShinyHunters
Oracle פרסמה ב-10 ביוני 2026 התראה על CVE-2026-35273 ב-PeopleSoft PeopleTools. לפי Mandiant, כנופיית ShinyHunters ניצלה אותה כבר מ-27 במאי, בעיקר נגד מוסדות להשכלה גבוהה.
TL;DR בקצרה
- CVE-2026-35273 בציון 9.8 מאפשרת הרצת קוד בלי הזדהות ב-PeopleTools 8.61 ו-8.62.
- לפי Mandiant, ShinyHunters ניצלה אותה כיום אפס בין 27 במאי ל-9 ביוני, ו-68% מהארגונים שקיבלו התראה הם מוסדות להשכלה גבוהה.
- ההגנה הראשונה של Oracle היא כיבוי או הסרה של שירות EMHub, וחסימת שני נתיבים בגבול הרשת. מסנן WAF לבד לא מספיק.
- CISA הוסיפה את החולשה לקטלוג KEV ב-12 ביוני. גם מי שעדכן צריך לחפש סימני פריצה, כי הניצול החל לפני ההתראה.
Oracle פרסמה ב-10 ביוני 2026 התראת אבטחה על CVE-2026-35273 ב-PeopleSoft PeopleTools. זו חולשה בציון 9.8 שמאפשרת הרצת קוד בלי הזדהות. לפי Mandiant וקבוצת האיומים של Google, כנופיית ShinyHunters ניצלה אותה כיום אפס כבר מ-27 במאי. ב-12 ביוני הוסיפה CISA את החולשה לקטלוג החולשות המנוצלות.
מה ידוע על CVE-2026-35273 ב-PeopleSoft
PeopleSoft היא חבילת הניהול של Oracle לשכר, משאבי אנוש, כספים ומערכות של קמפוס. PeopleTools הוא הרכיב שמריץ את כולן. לפי Rapid7, החולשה היא ברכיב Environment Management של PeopleTools. היא פוגעת בגרסאות 8.61 ו-8.62.
Oracle מציינת שאפשר לנצל אותה מרחוק בלי הזדהות, ושהניצול עלול להוביל להרצת קוד. את הבאג דיווחה ל-Oracle יוזמת Zero Day Initiative של TrendAI. Mandiant מתארת את התקיפה בשני נתיבים: POST ל-PSEMHUB/hub ול-PSIGW/HttpListeningConnector.
לפי Mandiant, התוקפים עשויים להשתמש בבקשות מסוג SSRF. זו בקשה שגורמת לשרת עצמו לפנות ליעד שהתוקף בחר. השרשרת עלולה גם ליצור חיבור SMB יוצא לכתובת חיצונית, ובכך לחשוף גיבובי NetNTLM של חשבון המכונה.
איך ShinyHunters תקפה את PeopleSoft ומה עשתה אחרי הפריצה
Mandiant ו-GTIG מתארות קמפיין פריצה וסחיטה. הן מזהות את הקבוצה כ-UNC6240, הוא ShinyHunters. Mandiant תיעדה פעילות בין 27 במאי ל-9 ביוני. ב-9 ביוני הופיעו נתונים של קורבן באתר הדלפות של הקבוצה.
גוגל התריעה ל-100 ארגונים ומעלה, שכתובות ה-IP שלהם הצביעו על נקודות קצה שעשויות להיות פגיעות. רובם בארצות הברית, ו-68% מהם מוסדות להשכלה גבוהה. חלק מהארגונים חסמו את התקיפה בזמן, וחלק אחר איבד נתונים.
אחרי הפריצה התוקפים התקינו כלי ניהול מרחוק בשם MeshCentral, שמחופש לרכיב של Azure. הם סרקו את הגדרות PeopleSoft והפעילו סקריפט שניסה להתחבר ב-SSH לשרתים פנימיים עם סיסמאות קבועות. אם הצליחו, הם השאירו בשרת סימן סחיטה של הכנופיה. את הנתונים דחסו ב-zstd והעבירו החוצה.
לפי BleepingComputer, אנשי הכנופיה טוענים שגנבו נתונים מכ-300 מופעי PeopleSoft ב-100 ארגונים ומעלה. זו טענה שלהם, ולא ממצא של Mandiant.
מה Oracle ו-Mandiant ממליצות לעשות ב-PeopleSoft
BleepingComputer ו-SecurityWeek כתבו ש-Oracle פרסמה תחילה צעדי הקלה ולא תיקון מלא. Rapid7 מתארת את אותו פרסום כתיקון חירום. ב-16 ביוני פרסמה Oracle את עדכון ה-CSPU של יוני, ו-Tenable ממליצה להתקין בו את התיקונים הרלוונטיים.
עד אז ההוראה היא לכבות את שירות EMHub בסביבה מרובת שרתים, או להסיר את האפליקציה PSEMHUB בסביבה של שרת אחד. אם אי אפשר, חסמו בגבול הרשת גישה חיצונית ל-PSEMHUB ול-PSIGW/HttpListeningConnector. לפי Mandiant, החסימה הזאת לא פוגעת בגלישה רגילה של משתמשים.
Mandiant מדגישה שכללי WAF שבודקים את גוף הבקשה לא מספיקים כדי לחסום את התקיפה הזאת.
חפשו גם סימני פריצה, גם אם כבר עדכנתם. חפשו בקשות POST חיצוניות לשני הנתיבים ביומני WebLogic, וגם בקשות עם כתובות פנימיות כמו 127.0.0.1. בדקו אם נוספו קובצי JSP חדשים בתיקיית PSEMHUB.war, ובקשו מצוות הרשת לעקוב אחרי חיבורי SMB יוצאים (פורט 445) מהשרתים.
ציר הזמן: ממאי ועד הקטלוג של CISA
ב-27 במאי החלה הפעילות שתיעדה Mandiant. ב-9 ביוני פורסמו נתוני קורבן באתר ההדלפות. ב-10 ביוני פרסמה Oracle את ההתראה. ב-12 ביוני פרסמה Google את הדוח, ו-CISA הוסיפה את החולשה לקטלוג KEV.
דף ההתראה של CISA לא מציג מועד תיקון, אלא רק את הדרישה לסוכנויות פדרליות לטפל בהקדם. ההתראה מגדירה את הבעיה כהיעדר אימות בפונקציה קריטית.
מה זה אומר עבורכם
- בדקו גרסה: האם אתם מריצים PeopleTools 8.61 או 8.62, ואם השרתים פתוחים לאינטרנט.
- הקטינו חשיפה: כבו את EMHub או הסירו את PSEMHUB, וחסמו גישה חיצונית לשני הנתיבים.
- התקינו תיקון: הפעילו את התיקונים של Oracle, ואל תסתמכו על כלל WAF בלבד.
- חפשו פריצה קיימת: בדקו יומנים החל מ-27 במאי, ואחרי כן בדקו קובצי JSP חדשים וחיבורי SMB יוצאים.
- החליפו סיסמאות: אם יש סימני פריצה, החליפו סיסמאות ומפתחות של השרת. התוקפים ניסו להתחבר בסיסמאות קבועות.
מקורות והרחבה
- ShinyHunters Targets Education Sector with Oracle PeopleSoft ExploitGoogle Cloud
- CISA Adds One Known Exploited Vulnerability to CatalogCISA
- ETR: Active Exploitation of Oracle PeopleSoft Zero-Day (CVE-2026-35273)Rapid7
- Oracle mitigates PeopleSoft zero-day exploited in data theft attacksBleepingComputer
- Oracle Addresses PeopleSoft Vulnerability Amid Reports of Zero-Day AttacksSecurityWeek
- Oracle June 2026 Critical Security Patch Update Addresses 243 CVEs (CVE-2026-35273)Tenable
הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.
מצאתם טעות? דווחו לנו
